TROJ_OTLARD.TY

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JS_NEMUCOD.ELDSAUGH

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Internet Explorer\{filename}.exe
  where {filename} is any name of .exe file in %System% folder

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Internet Explorer\{filename}.inf
  where {filename} is any name of .exe file in %System% folder
• {malware path}\{random numbers}.bat - use to delete the malware

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• mstsc.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ServiceEntryPointThread

マルウェアは、以下のプロセスにコードを組み込みます。

• mstsc.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
IEAK

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft
CtrlLogMaxSize = 0xd05

HKEY_LOCAL_MACHINE\Software\Microsoft
CtrlLogMaxSize = 0xd05

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Count = 1

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Path1 = %Application Data%\Microsoft\Internet Explorer\icapoq.inf

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Section1 = DefaultInstall

感染活動

上記INFファイルには、以下の文字列が含まれています。

[Version]
signature = "$CHICAGO$"
AdvancedINF = 2.5, "You need a new version of advpack.dll"

[DefaultInstall]
RunPreSetupCommands =
tpdsyfxbnporewlfyxybdhirskgzuhxbubkp:2

[tpdsyfxbnporewlfyxybdhirskgzuhxbubkp]
%Application Data%\Microsoft\Internet Explorer\{filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、実行後、自身を削除します。