BKDR_LINEAGE.EWD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Temp%\E_N4
• %Program Files%\gqven

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\nsv1.tmp
• %Windows%\fonts\msgothic.ttf
• %Windows%\fonts\msuigoth.ttf
• %Windows%\fonts\MSMINCHO.TTF
• %Windows%\fonts\Gulim.ttf
• %Windows%\fonts\Gulimche.ttf
• %Windows%\fonts\Dotum.ttf
• %Windows%\fonts\Batang.ttf
• %Windows%\fonts\Gungsuh.ttf
• %Windows%\fonts\Simsun.ttf
• %Windows%\fonts\nsimsun.ttf
• %Windows%\fonts\MingLiU.ttf
• %Windows%\fonts\pmingliu.ttf
• %System%\SET3.tmp
• %System%\kbd101b.dll
• %System%\SET5.tmp
• %System%\kbd101c.dll
• %System%\SET7.tmp
• %System%\kbd103.dll
• %System%\SET9.tmp
• %System%\kbd106.dll
• %System%\SETB.tmp
• %System%\kbdjpn.dll
• %System%\SETD.tmp
• %System%\kbdkor.dll
• %System%\642d3b30.del
• %Program Files%\gqven\gqven.dll
• %System Root%\ruirui.exe
• %Windows%\SoftwareDistribution\DataStore\Logs\edbtmp.log

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

HKEY_LOCAL_MACHINE\SOFTWARE\ki6to45

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\MediaResources\msvideo

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "a"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\6to4
Module = "%System Root%\ruirui.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\6to4\Parameters
ServiceMain = "CAGetDN"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\6to4
Description = "{random characters}"

(註：変更前の上記レジストリ値は、「Provides DDNS name registration and automatic IPv6 connectivity over an IPv4 network. If this service is stopped, other computers may not be able to reach it by name and the machine will only have IPv6 connectivity if it is connected to a native IPv6 network. If this service is disabled, any other services that explicitly depend on this service will fail to start.」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\6to4\Parameters
ServiceDll = "%Program Files%\gqven\gqven.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• \lanren.exe
• \ruirui.exe
• %User Temp%\E_N4\krnln.fnr
• %User Temp%\E_N4\iext.fnr
• %User Temp%\E_N4\eNetIntercept.fne
• %User Temp%\E_N4\shell.fne
• %User Temp%\E_N4\eAPI.fne
• %User Temp%\E_N4\internet.fne
• %User Temp%\E_N4\shellEx.fne
• %User Temp%\E_N4\HtmlView.fne
• %User Temp%\E_N4\dp1.fne
• %User Temp%\E_N4\PBShell.fne
• %User Temp%\E_N4\downlib.fne
• %System%\SkinH_EL.dll
• %User Temp%\longhorn.she
• %System%\SET2.tmp
• %System%\SET4.tmp
• %System%\SET6.tmp
• %System%\SET8.tmp
• %System%\SETA.tmp
• %System%\SETC.tmp
• %User Temp%\62875.log
• %System%\SET3.tmp
• %System%\SET5.tmp
• %System%\SET7.tmp
• %System%\SET9.tmp
• %System%\SETB.tmp
• %System%\SETD.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}u.com
• http://www1.{BLOCKED}f.cn/upgrate5.txt
• http://www1.{BLOCKED}f.cn/new.txt
• http://www1.{BLOCKED}f.cn/wlbt.txt

このウイルス情報は、自動解析システムにより作成されました。