TROJ_VAPSUP.RE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\ADMINI~1
• %User Profile%\LOCALS~1
• %User Temp%\nsy3.tmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{E9CE47C6-C8A4-3C5E-A985-FEBE6E3ED08A}

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\nsd1.tmp
• %User Temp%\nsy3.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Nikon\
Capture NX 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E9CE47C6-C8A4-3C5E-A985-FEBE6E3ED08A}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E9CE47C6-C8A4-3C5E-A985-FEBE6E3ED08A}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{20ACD218-835F-3741-8E97-50F97C9FD742}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{20ACD218-835F-3741-8E97-50F97C9FD742}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{20ACD218-835F-3741-8E97-50F97C9FD742}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{20ACD218-835F-3741-8E97-50F97C9FD742}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{20ACD218-835F-3741-8E97-50F97C9FD742}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{20ACD218-835F-3741-8E97-50F97C9FD742}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D2E9A030-C5BF-34EB-9E4A-F7FE87C65706}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D2E9A030-C5BF-34EB-9E4A-F7FE87C65706}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D2E9A030-C5BF-34EB-9E4A-F7FE87C65706}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D2E9A030-C5BF-34EB-9E4A-F7FE87C65706}\TypeLib

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Nikon\
Capture NX 2
Installer Language = "1033"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{E9CE47C6-C8A4-3C5E-A985-FEBE6E3ED08A}
IExplore = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{E9CE47C6-C8A4-3C5E-A985-FEBE6E3ED08A}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D2E9A030-C5BF-34EB-9E4A-F7FE87C65706}\TypeLib
Version = "1.0"

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\ntx45406.exe
• %System%\cw73673.dll
• %User Temp%\nst2.tmp
• %User Temp%\nsy3.tmp\ioSpecial.ini
• %User Temp%\nsy3.tmp\modern-wizard.bmp
• %User Temp%\nsy3.tmp\modern-header.bmp
• %User Temp%\nsy3.tmp\System.dll
• %User Temp%\nsy3.tmp\UserInfo.dll
• %System%\ntx45656.exe
• %System%\xcw73673.dll

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

このウイルス情報は、自動解析システムにより作成されました。