TROJ_KRYPTIK.BMZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %System%\{random file name}.exe - detected as TROJ_FAM_00001e3.TOMA

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random registry key}

HKEY_LOCAL_MACHINE\SOFTWARE\{random registry key}

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{Random Characters} = "%System%\{Random File Name}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
6 = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
9 = {random values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings
6 = {random values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings
9 = {random values}

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\Documents and Settings\{user name}xplore.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}ut4.cn/update/utu.dat

ただし、情報公開日現在、このWebサイトにはアクセスできません。

HOSTSファイルの改変

マルウェアは、WindowsのHOSTSファイルに以下の文字列を追加します。

• 127.0.0.1 thepiratebay.org
• 127.0.0.1 www.thepiratebay.org
• 127.0.0.1 mininova.org
• 127.0.0.1 www.mininova.org
• 127.0.0.1 forum.mininova.org
• 127.0.0.1 blog.mininova.org
• 127.0.0.1 suprbay.org
• 127.0.0.1 www.suprbay.org