CARBERP

「CARBERP」は、2009年に初めて確認されたトロイの木馬型マルウェアのファミリです。マルウェアは、"WININET.DLL"内のネットワークAPIをフックすることにより、ブラウザ上でのユーザの閲覧活動を監視し、ユーザの個人情報を収集するよう設計されています。マルウェアは、自身のコマンド＆コントロール（C&C）サーバに接続する機能を備えており、環境設定ファイルのダウンロードおよび任意のコマンドの受信をします。これにより、感染コンピュータのセキュリティを侵害します。

「CARBERP」は、キー入力操作情報の収集、Web サイトの偽装および管理権限の要求されない場所に自身のコピーを作成します。このマルウェアのファミリは、ダウンロードされるか、埋め込まれたモジュールによって自身の不正活動を行うために、プラグイン依存のマルウェアとして特徴付けられます。マルウェアが利用することで知られる2つのプラグインに、"miniav"と"stopav"モジュールがあります。これらのモジュールは、「CARBERP」が感染コンピュータ上で実行されている他のマルウェアおよびセキュリティ関連ソフトの削除を可能にします。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\{random folder name}\wndsksi.inf
• %System%\ieunitdrf.inf
• {All User's Profile\wjver.dat

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\igfxtray.exe
• %User Startup%\{random filename}.exe

(註：%User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet\Explorer\Main
TabProcGrowth = "0"

その他

マルウェアは、以下のフォルダを作成します。

• %System Root%\＜ランダムなフォルダ名＞
• %User Profile%\Application Data\MicroST

マルウェアは、以下のいずれかのC&Cサーバに接続します。

• ＜省略＞y.in
• ＜省略＞banksystem.ru
• http://＜省略＞t-dbo.ru/s.dll
• ＜省略＞aff.com
• ＜省略＞affer.com
• ＜省略＞affer321.com
• http://＜省略＞ystemdwersfssnk.com
• http://＜省略＞m-ibank2.com/s.dll
• http://＜省略＞ticgamers.com
• ＜省略＞j894iofhweihj.com
• http://＜省略＞sdriverdbo.com/rt_jar
• ＜省略＞e1.com
• ＜省略＞it23.com
• ＜省略＞bb.com