BKDR_VAWTRAK.XF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 1} = "regsvr32.exe "%All Users Profile%\Application Data\{random 1}\{random 1}.dat""

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}

HKEY_CLASSES_ROOT\CLSID\{CLSID 2}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 1}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 2}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}
#cert = "31"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}
#sd = "{hex value}"

HKEY_CLASSES_ROOT\CLSID\{CLSID 2}
{CLSID 3} = "{hex values}"

HKEY_CLASSES_ROOT\CLSID\{CLSID 2}
{CLSID 4} = "{hex values}"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 1}
#cert = "31"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 1}
#sd = "{hex value}"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 2}
{CLSID 3} = "{hex values}"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 2}
{CLSID 4} = "{hex values}"

作成活動

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\{random 1}\{random 1}.dat

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.179.45
• http://{BLOCKED}x.com/site/data/{random}
• http://{BLOCKED}ida.com/site/data/{random}
• http://{BLOCKED}okiv.com/site/data/{random}
• http://{BLOCKED}rz.com/site/data/{random}

マルウェアは、実行後、自身を削除します。