• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.Win32.LOADSELL.B

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

インストール

マルウェアは、以下のプロセスを追加します。

• To delete itself:
  • "%System%\cmd.exe" /c taskkill /im "{Malware Filename}.exe" /f & erase "{Malware Filepath}\{Malware Filename}.exe" & exit
• If download is successful:
  • "%System%\cmd.exe" /c start /I "" "%User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe"
  • "%System%\cmd.exe" /c start /I "" "%User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe" /{mix, us, eu or depending on the country}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\ → Hidden

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}n.in/dlc/distribution.php?pub={String} → Depending on the {User Agent} used. It may receive a file or a secondary download link.
• {Received secondary download link}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{4 Random Characters}-{5 Random Characters}-{4 Random Characters}-{5 Random Characters}\{11 Random Numbers}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• IP Address
• Country
• Keyboard Layout/Language

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}n.in/decision.php?pub={String}
• http://{BLOCKED}n.in/stats/remember.php?pub={String}&user={username}
• http://{BLOCKED}n.in/stats/itscis.php?pub={String}
• http://{BLOCKED}n.in/stats/statistics.php?trackid={track id}&postback={postback value}
  • Where depending on the country the infected machine is located in, {String} can be the following:
    • cainte
    • caone
    • cafour
    • cafive
    • casix
    • cashmix
    • casheu
    • cashus
    • cashtg
    • euinte
    • euone
    • eutwo
    • euthree
    • eufour
    • eufive
    • eux
    • mixinte
    • mixone
    • mixtwo
    • mixthree
    • mixfive
    • mixsix
    • mixseven
    • pmix
    • peu
    • pus
    • tgcash
    • tgone
    • tgsix
    • umix
    • ueu
    • uus
    • usinte
    • usone
    • ustwo
    • usthree
    • usfour
    • usfive
    • willmix
    • willeu
    • willus

マルウェアは、以下を実行します。

• It will terminate and delete itself if it finds any of the following:
  • The following folders:
    • %User Desktop%\Garbage Cleaner
  • The following registry keys:
    • HKEY_CURRENT_USER\Software\GCleaner
  • The system's locale or language:
    • Russian
    • Ukrainian
    • Kazakh
• It connects to the following url(s) to log the Connecting Machine's IP Address:
  • http://{BLOCKED}er.org/{Characters} → Accessible
    • Where depending on the {String} used, {Characters} can be the following:
      • /11cuE
      • /11juE
      • /11QuE
      • /17bdv7
      • /17mdv7
      • /17vdv7
      • /17xdv7
      • /1B6de7
      • /1B8de7
      • /1B9de7
      • /1BaHp7
      • /1bAJM6
      • /1bPJM6
      • /1bRJM6
      • /1ecB47
      • /1evB47
      • /1exB47
      • /1KEC77
      • /1KRC77
      • /1KWC77
      • /1OPdA
      • /1OUdA
      • /1Pk497
      • /1Pv287
      • /1RGrt7
      • /1S3Jr7
      • /1SbGr7
      • /1SDGr7
      • /1SEGr7
      • /1SGGr7
      • /1SMHr7
      • /1SVGr7
      • /1SvGr7
      • /1SXGr7
      • /1SZGr7
      • /1u3ha7
      • /1Uvu47
      • /1xA9f7
      • /1xF9f7

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください