TROJ_JORIK.BFN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

ファイルサイズ 188,928 bytes

タイプ EXE

メモリ常駐はい

発見日 2011年11月4日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%User Profile%\Application Data\Evyf
%User Profile%\Application Data\Gonaa

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{58C4EBA0-47A8-AD40-8C85-A85A94978B48} = ""%User Profile%\Evyf\agfuy.exe""

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
1hch19ch = "dZusTsNG+ASkeWx/ZTbSipPI4rZqsrXc? ?"

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
21417d8f = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
26956:UDP = "26956:UDP:*:Enabled:UDP 26956"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
20982:TCP = "20982:TCP:*:Enabled:TCP 20982"

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
ah28agb = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
29ee6542 = "GJvNTrsKMUpgNEtTzU8n6l+/Nt5bI2/PI7eOS8PaPy+2OTeYES4qyNqHIp/ICq0f7NS42Vk/0AE=?_CHAR(0x14)_?"

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
1j8b7hb7 = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
fgb93a0 = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = 4

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = 1

HKEY_CURRENT_USER\Software\Microsoft\
Ihohv
21417d8f = "SZvNTg==_CHAR(0x07)__CHAR(0x03)_l_CHAR(0x0E)_"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Identities
Last Username = "Main Identity"

(註：変更前の上記レジストリ値は、「Main Identity」となります。)

HKEY_CURRENT_USER\Identities
Last User ID = "{341F68BA-C841-4200-A7B4-3D5CFF202166}"

(註：変更前の上記レジストリ値は、「{5D1D9894-914A-4AF9-BD82-81F349A83013}」となります。)

HKEY_CURRENT_USER\Identities
Identity Login = 9853

(註：変更前の上記レジストリ値は、「98053」となります。)

HKEY_CURRENT_USER\Identities
Identity Ordinal = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\advapi32.dll[MofResourceName] = "LowDateTime:-878345984,HighDateTime:29653303***Binary mof compiled successfully"