Trojan.Win32.FUPORPLEX.END

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\drivers\dump_{Random characters}.sys

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\Ms{Random character}App.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\svchost.exe -k LocalService
• %System%\svchost.exe -k NetworkService

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\ExpDriver
• Global\ExpServicA
• Global\{Characters based on volume serial number}CSS
• Global\{Characters based on volume serial number}AppService
• Global\{Characters based on volume serial number}SetService
• Global\{Characters based on volume serial number}SetServiceX
• Global\{Characters based on volume serial number}SLG_MutexLock

自動実行方法

マルウェアは、以下のサービスを追加するDLLファイルです。

• Ms{Random characters}App -> runs %System%\Ms{Random character}App.dll
• dump_{Random characters} -> runs %System%\drivers\dump_{Random characters}.sys

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• All files inside the %Windows% folder with Ms and Es or Ex in its filename
• All files inside the %System% folder with Ms and Es or Ex in its filename

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DirectPlay8\Direct3D
{Random characters} = {Random characters}

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet or ControlSet001}\
Control\SafeBoot\Minimal\
Ms{Random characters}App
(Default) = Service

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet or ControlSet001}\
Control\SafeBoot\Network\
Ms{Random characters}App
(Default) = Service

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet or ControlSet001}\
Control\SafeBoot\Minimal\
dump_{Random characters}.sys
(Default) = Service

その他

マルウェアは、以下を実行します。

• It checks whether it is running on the following processes:
  • WinLogon.exe
  • svchost.exe
• It adds the malicious Ms{Random characters}App service to the netsvcs service group by modifying the value of HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost\netsvcs.
• Added %System%\svchost.exe -k LocalService serves as a watchdog for added %System%\svchost.exe -k NetworkService and vice versa
• It locates for the following files to continue its malicious routine:
  • %Windows%\AppPatch\Ke{Random characters}.xsl
  • %Windows%\AppPatch\Ac{Random characters}.sdb
  • .moe files in %Windows%\AppPatch\Custom
  • .mow files in %Windows%\AppPatch\Custom

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)