解析者: Alvin John Nieto   
 別名:

Trojan-PSW.Win32.Tepfer.tttf (Kaspersky), Backdoor:Win32/Vawtrak.D (Microsoft), Win32/PSW.Papras.DC trojan (ESET)

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:

  • マルウェアタイプ:
    バックドア型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 227,784 bytes
タイプ DLL
発見日 2014年4月24日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware name} = "regsvr32.exe "{malware path}\{malware name}.{file extension}""

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
PolicyScope = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
DefaultLevel = "262144"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
TransparentEnabled = "1"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}onally.com/forumdisplay.php?fid={value}
  • http://{BLOCKED}ilix.com/forumdisplay.php?fid={value}
  • http://{BLOCKED}ag.com/forumdisplay.php?fid={value}
  • http://{BLOCKED}old.com/forumdisplay.php?fid={value}
  • http://{BLOCKED}oxon.com/forumdisplay.php?fid={value}
  • http://{BLOCKED}5.{BLOCKED}.32.67/forumdisplay.php?fid={value}
  • http://{BLOCKED}5.{BLOCKED}.32.80/forumdisplay.php?fid={value}
  • http://{BLOCKED}6.{BLOCKED}5.233.38/forumdisplay.php?fid={value}
  • http://{BLOCKED}olon.com/{BLOCKED}mdisplay.php?fid={value}
  • http://{BLOCKED}6.{BLOCKED}5.233.80/forumdisplay.php?fid={value}
  • http://{BLOCKED}diaz.com/{BLOCKED}display.php?fid={value}
  • http://{BLOCKED}ilpane.com/{BLOCKED}display.php?fid={value}