Trojan.JS.DUNIHI.AMX

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\[Random characters].txt

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• {JRE Directory}\bin\javaw.exe -jar %Application Data%\[Random characters].txt → if JRE is installed
• %Application Data%\jre7\bin\javaw.exe -jar %Application Data%\[Random characters].txt → if JRE is NOT installed

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ntfsmgr = %Application Data%\jre7\bin\javaw.exe -jar %Application Data%\[Random characters].txt → if JRE is NOT installed

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• checks if system has Java Runtime Environment (JRE) installed so it could run dropped malicious file (%Application Data%\ntfsmgr.jar) by reading the following registries:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Runtime Environment\{JRE Version}\JavaHome
  • HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Runtime Environment\{JRE Version}\JavaHome
• if JRE is not yet installed, it does the following:
  • downloads JRE archive from URL:
  • http://{BLOCKED}t.company/jv/jree.zip
  • saves file as:
  • %Application Data%\jre.zip
  • decompresses it to:
  • %Application Data%\jre7

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• {JREのディレクトリ}\bin\javaw.exe -jar %Application Data%\[ランダムな文字列].txt → Javaランタイム環境（JRE）がインストールされている場合
• %Application Data%\jre7\bin\javaw.exe -jar %Application Data%\[ランダムな文字列].txt → JREがインストールされていない場合

その他

マルウェアは、以下を実行します。

• コンピュータにJavaランタイム環境（JRE）がインストールされていることを確認した場合は、以下のレジストリを読み取ることで作成される不正ファイル（%Application Data%\ntfsmgr.jar）を実行します。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Runtime Environment\{JREのバージョン}\JavaHome
  • HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Runtime Environment\{JRE Version}\JavaHome
• JREがインストールされていない場合は、以下を実行します。
  • 以下のURLからJREアーカイブをダウンロードします。
    • http://{BLOCKED}t.company/jv/jree.zip
  • ダウンロードしたファイルを以下の名前で保存します。
    • %Application Data%\jre.zip
  • その後、以下のように解凍します。
    • %Application Data%\jre7