TSPY_KORPLUG.AM

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\Adobe\desktop.ini

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
_default = RUNDLL32 "C:\Windows\system32\rundll32.exe" DllRegisterServer

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WMIHelper\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WMIHelper\Parameters
ServiceDll = {malware path}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WMIHelper\Parameters
ServiceMain = SafeSvcMain

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http[:]//{BLOCKED}.{BLOCKED}.37[.]101:80
• {BLOCKED}.{BLOCKED}.37.101.vultr.com
• NS1.{BLOCKED}R.COM
• NS2.{BLOCKED}R.COM