JAVA_EXPLOIT.RG

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2013年1月に確認された「Blackhole Exploit Kit（BHEK）」を利用した攻撃に関連しています。マルウェアは、「身代金要求型不正プログラム（ランサムウェア）」の亜種を作成するために、Javaに存在するゼロデイ脆弱性（CVE-2013-0422）を利用しました。この一連の攻撃により、ユーザは、金銭を要求される可能性があります。

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のソフトウェアに存在する未公開の脆弱性を利用して感染活動をします。この脆弱性が利用されると、マルウェアは不正なファイルをダウンロードします。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• HTML_EXPLOIT.RG

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}enhaupdad.bounceme.net/read/UTTER-OFFEND.JAR

ダウンロード活動

マルウェアは、特定のソフトウェアに存在する未公開の脆弱性を利用して感染活動をします。この脆弱性が利用されると、マルウェアは不正なファイルをダウンロードします。

• Java Runtime Environment (1.7 Update 9 & Update 10)

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して感染活動をします。これにより、不正ファイルがダウンロードされます。

• Oracle Java 7 Security Manager Bypass Vulnerability (CVE-2013-0422)

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\awt43abr.exe
• %User Profile%\berstrestvers.exe
• %User Profile%\bawt34tv.exe
• %User Profile%\tab4vrtve.exe
• %User Profile%\wgsdgsdgdsgsd.exe
• %User Profile%\ab43yctewatv.exe
• %User Profile%\a43vtzgbdgv.exe
• %User Profile%\atv4tvq34.exe
• %User Profile%\bg34dfbewgba4.exe
• %User Profile%\av4a43by4ayb.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、特定のWebサイトから不正なファイルをダウンロードします。マルウェアが上述のファイルをダウンロードするWebサイトは、このマルウェアのコンポーネントから取得する以下のパラメータにより決まります。

• val
• prime

その他

マルウェアは、以下のコマンドを利用してダウンロードしたファイルを実行します。

• regsvr32 -s %User Profile%\{file name}.exe
• %User Profile%\{file name}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下に存在する脆弱性を利用します。

• Java 7 Update 9 および Update 10（JRE 1.7 ）