TROJ_KILLAV.RX

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %WINDOWS%\Fonts\{random}\system\1111.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• _!MSFTHISTORY!_

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\
CurrentVersion\Run
TBMExe = Windows%\Fonts\{Random}\system\1111.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\
CurrentVersion\Image File Execution Options\

{Application Name}
Debugger = c:\MMM.exe

HKEY_LOCAL_MACHINE\SOFTWARE\GoogleBA
(Default) =

HKEY_CURRENT_USER\Control Panel\Cursors
AppStarting = {blank}

HKEY_CURRENT_USER\Control Panel\Cursors
Arrow = {blank}

作成活動

マルウェアは、以下のファイルを作成します。

• %WINDOWS%\Fonts\{random}\system\KB930.vxd

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}05916.com
• http://{BLOCKED}83216.com
• http://{BLOCKED}987255.com/logo.gif
• http://www.{BLOCKED}union.com/