TROJ_PHINDOLP.A

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_DROPHIN.A

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
arun = "%User Temp%\explorer.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
Enabled = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
ShownVerifyBalloon = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Recovery
AutoRecover = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Check_Associations = "no"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
DisableFirstRunCustomize = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
IEHardenIENoWarn = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonZoneCrossing = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnPostRedirect = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
IEharden = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
DEPOff = "1"

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のレジストリキーを問い合わせることによって、自身が仮想環境下で実行されているかを確認します。

HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Disk\Enum

マルウェアは、上述のレジストリキーに以下の文字列が存在するかを確認します。

• VBOX
• Virtual
• VMware

マルウェアは、以下のプロセスを停止し、感染コンピュータ上で使用されるブラウザが「Firefox」または「Chrome」、「Opera」、「Internet Explorer（IE）」のみにします。

• maxthon.exe
• 360se.exe

そして、マルウェアは、感染コンピュータ上で実行されているブラウザを報告するために、後述されているものと同じコマンド＆コントロール（C&C）サーバへ以下のパラメータを送信します。

• ReuseFF
• IEalone
• ReuseOP

マルウェアは、以下のレジストリキー下の特定のレジストリ値を問い合わせることで、感染コンピュータのホスト名やドメインを検索します。

• レジストリキー

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters

• レジストリ値

・HostName
・Domain

マルウェアは、以下のレジストリキー下の特定のレジストリ値を問い合わせることで、IPアドレスや既定のゲートウェイ、DHCPでのIPアドレスを検索します。

• レジストリキー

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces

• レジストリ値

・IPAddress
・DefaultGateway
・DHCPIPAddress

マルウェアは、以下のレジストリキーを問い合わせることによって、インストールされているEメールのクライアンを確認します。

HKEY_LOCAL_MACHINE\software\clients\mail

マルウェアは、以下のレジストリキーを問い合わせることによって、インストールされているWebブラウザを確認します。

HKEY_LOCAL_MACHINE\Software\Classes\http\shell

そしてマルウェアは、上述のレジストリキーに以下の文字列が存在するかを検索します。

• FIREFOX.EXE
• Chrome
• Maxthon3
• Opera
• 360

マルウェアは、以下のレジストリキーを問い合わせ、感染コンピュータで設定されているブラウザを確認します。

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet

マルウェアは、以下のレジストリキーを問い合わせることによって、プロキシサーバおよびブラウザのプロキシ設定を自動的に設定するための「AutoConfigURL」の値を取得します。また、プロキシサーバが感染コンピュータで利用可能であるか確認します。

• レジストリキー

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings

• レジストリ値

・ProxyEnable
・ProxyServer
・AutoConfigURL

マルウェアは、以下のレジストリキーを問い合わせることによって、IEのバージョンを確認します。

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Version Vector

そしてマルウェアは、収集したすべての情報を暗号化し、HTTPポストを介して以下のC&Cサーバへ送信します。

• http://sky＜省略＞1.name/＜ASPXファイルを含むディレクトリ＞?r=＜暗号化された情報＞&a=

註：＜ASPXファイルを含むディレクトリ＞は、以下のいずれかが該当します。

• shfam9y/Default.aspx
• shfam9y/Direct9.aspx
• shfam9y/login0.aspx
• shfam9y/www2.aspx

このC&Cサーバは、バイナリを用いて応答します。そしてマルウェアは、ダウンロードされたバイナリを実行します。ただし、情報公開日現在、このC&Cサーバは応答しません。

マルウェアは、ファイル "%System%\cmd.exe" を "%User Temp%\~vmdmc.exe" としてコピーします。マルウェアは、ユーザに気づかれないようにダウンロードしたバイナリを実行するためにファイル "%User Temp%\~vmdmc.exe" を利用します。

また、マルウェアは、以下のレジストリ値を問い合わせることによって、コマンドプロンプトが利用可能であるかを確認します。

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System
DisableCMD

もし、利用不可能であった場合、マルウェアは、そのレジストリ値を修正し、バイナリをダウンロードし、実行するという不正活動を行います。

マルウェアは、感染コンピュータにおけるプロキシの設定に適合するために、ブラウザの設定を変更する機能を備えています。