• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_POPUREB.SMB

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、自身の機能により、感染コンピュータの「マスター・ブート・レコード（MBR）」内での不正活動を隠匿し、ユーザによる検出を避けます。

マルウェアは、特定の不正なWebサイトにアクセスし、情報の送信およびファイルのダウンローを行います。マルウェアは、特定のWebサイトから環境設定ファイルをダウンロードします。マルウェアは、ダウンロードした環境設定ファイルを保存します。マルウェアは、HTTPリクエストを送信することによって自身がコンピュータに感染したことを自身のサーバに報告します。マルウェアは、サーバが文字列「OK」と応答するのを待機します。

マルウェアは、特定のWebサイトから初期設定ファイルをダウンロードします。マルウェアは、ダウンロードしたファイルを "%Windows%\vc.ini" として保存します。このファイルの内容は、自身の不正活動を行うためにマルウェアによって解析されます。

マルウェアは、コンポーネントファイル "Desktop\*.url" を検索し、不正活動を行うためにコンポーネントファイルを解析します。

マルウェアは、メモリ上でブラウザのプロセスが実行されているかを確認します。マルウェアは、メモリ上で実行されているブラウザのプロセスを確認すると、確認したプロセスにスレッドを組み込み、特定のWebサイトにアクセスします。

マルウェアは、不正なHTTPトラフィックを作成するために、ダウンロードした環境設定ファイルと初期設定ファイルを基にブラウザのセッションを乗っ取ります。作成された不正なHTTPトラフィックは、他の不正なファイルのダウンロード、Webサイトのアクセスおよびオンライン広告の表示を引き起こします。また、この不正なHTTPトラフィックは、特定のブラウザに影響を及ぼします。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

---

  詳細

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_POPUREB.SMA

インストール

マルウェアは、以下の無害なファイルを作成します。

• %System Root%\Documents and Settings\All Users\Documents\My Videos\PulgFile.log - config file
• %System Root%\PulgFile.log - config file
• %System Root%\Documents and Settings\All Users\Documents\My Videos\Desktop.ini - non-malicious component
• %User Profile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.IE - non-malicious component
• %Desktop%\Internet Explorer.IE - non-malicious component

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\Documents\My Videos\Van{3 random characters}.tmp
• %System Root%\Van{3 random characters}.tmp

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• IE_2011_Mutex

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\.IE
@ = "IE"

HKEY_CLASSES_ROOT\.JE
@ = "JE"

HKEY_CLASSES_ROOT\IE
@ = "{characters}"

HKEY_CLASSES_ROOT\IE\DefaultIcon
@ = "shdoclc.dll,0"

HKEY_CLASSES_ROOT\JE
@ "¿ì½Ý·½Ê½" = "{characters}"

HKEY_CLASSES_ROOT\JE\shell\
open\command
@ = "C:\Program Files\Internet Explorer\IEXPLORE.EXE "

HKEY_CLASSES_ROOT\IE\shell\
open\command
@ = "%Program Files%\Internet Explorer\IEXPLORE.EXE http://{BLOCKED}3.{BLOCKED}1.info"

HKEY_CLASSES_ROOT\JE\shell\
open\command
@ = "%Program Files%\Internet Explorer\IEXPLORE.EXE "

HKEY_CLASSES_ROOT\CLSID\{2559a1f4-21d7-11d4-bdaf-00c04f60b9f0}\
shell\OpenHomePage
@ = "{characters}"

HKEY_CLASSES_ROOT\CLSID\{2559a1f4-21d7-11d4-bdaf-00c04f60b9f0}\
shell\OpenHomePage\Command
@ = "%Program Files%\Internet Explorer\IEXPLORE.EXE http://{BLOCKED}3.{BLOCKED}1.info"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Page_URL = "http://{BLOCKED}3.{BLOCKED}21.info"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
HideDesktopIcons\ClassicStartMenu
{871C5380-42A0-1069-A2EA-08002B30309D} = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
HideDesktopIcons\ClassicStartMenu
{871C5380-42A0-1069-A2EA-08002B30309D}.default = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
HideDesktopIcons\NewStartPanel
{871C5380-42A0-1069-A2EA-08002B30309D} = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
HideDesktopIcons\ClassicStartMenu
{871C5380-42A0-1069-A2EA-08002B30309D} = "2"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://{BLOCKED}3.{BLOCKED}21.info"

(註：変更前の上記レジストリ値は、「{default page}」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Page_URL = "http://{BLOCKED}3.{BLOCKED}21.info "

(註：変更前の上記レジストリ値は、「{default page}」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
HideDesktopIcons\ClassicStartMenu
{871C5380-42A0-1069-A2EA-08002B30309D}.default = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
HideDesktopIcons\NewStartPanel
{871C5380-42A0-1069-A2EA-08002B30309D} = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_CLASSES_ROOT\CLSID\{1f4de370-d627-11d1-ba4f-00a0c91eedba}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{C42EB5A1-0EED-E549-91B0-153485866016}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1f4de370-d627-11d1-ba4f-00a0c91eedba}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{20000000-0000-0000-0000-000000000000}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc850}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{1f4de370-d627-11d1-ba4f-00a0c91eedba}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{20000000-0000-0000-0000-000000000000}

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

その他

マルウェアは、以下の不正なWebサイトのいずれかにアクセスし、情報の送信およびファイルのダウンロードを行います。

• {BLOCKED}8.info
• {BLOCKED}8.info

マルウェアは、以下のWebサイトから環境設定ファイルをダウンロードします。

• http://＜マルウェアのドメイン＞/2/logo.gif

マルウェアは、ダウンロードした環境設定ファイルを以下のように保存します。

• %System Root%\Documents and Settings\All Users\Documents\My Videos\PulgConfig.log

マルウェアは、以下のHTTPリクエストを送信することによって自身がコンピュータに侵入したことを自身のサーバに報告します。

• http://＜マルウェアのドメイン＞:83/sms/do.php?userid=＜ユーザID＞&time=＜日時＞&msg=＜パラメータ＞&ver=&os=＜OS＞&fy=0&pauid=＜パラメータ＞&checkId=＜パラメータ＞
• http://＜マルウェアのドメイン＞:83/sms/count.php?userid=＜ユーザID＞

マルウェアは、サーバが文字列「OK」と応答するのを待機します。

マルウェアは、以下のWebサイトから初期設定ファイルをダウンロードします。

• http://＜マルウェアのドメイン＞:83/2/pop.gif

マルウェアは、ダウンロードしたファイルを以下として保存します。このファイルの内容は、自身の不正活動を行うためにマルウェアによって解析されます。

• %Windows%\vc.ini

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、""C:\Window""、WindowsNT および 2000の場合、""C:\WINNT"" です。)

マルウェアは、以下のコンポーネントファイルを検索し、不正活動を行うためにこのファイルを解析します。

• Desktop\*.url

マルウェアは、メモリ上でブラウザのプロセスが実行されているかを確認します。マルウェアは、メモリ上で実行されているブラウザのプロセスを確認すると、確認したプロセスにスレッドを組み込み、以下のWebサイトにアクセスします。

• http://{BLOCKED}3.765321.info

マルウェアは、不正なHTTPトラフィックを作成するために、ダウンロードした環境設定ファイルと初期設定ファイルを基にブラウザのセッションを乗っ取ります。作成された不正なトラフィックは、他の不正なファイルのダウンロード、Webサイトへのアクセスおよびオンライン広告の表示を引き起こします。また、マルウェアは、以下のいずれかのブラウザに影響を及ぼします。

• Chrome
• Firefox
• Iexplore
• Maxthon
• Sogouexplorer
• Theworld
• Traveler

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください