TRACUR

「TRACUR」の亜種は、P2Pネットワークまたは、他のマルウェアによってダウンロードされたファイルとしてコンピュータに侵入します。

「TRACUR」は、ワームのファミリで、ユーザのブラウザを、マルウェアの製作者が金銭を稼ぐことができる広告へ誘導します。マルウェアは、ブラウザのコンポーネントをインストールし、Webブラウザの閲覧活動を監視し、関連するポップアップを表示します。

「TRACUR」の亜種はまた、他のマルウェアを感染コンピュータにダウンロードし、実行することができます。

2010年、「TRACUR」の亜種は、脆弱性を利用した攻撃の最終ペイロードであることが確認されました。この脆弱性利用は、MOVファイルおよび動画再生アプリケーション「Quicktime」の特定機能に関連していました。

ユーザは、P2Pネットワークで、不正に細工された拡張子「MOV」のファイルを確認する可能性があります。そしてファイルを「Quicktime」で実行しようとすると、ファイルは起動され、不正なURLに誘導するInternet Explorerのウィンドウを開きます。そして不正なURLは、ユーザにファイルをダウンロードするよう促します。ファイルは例外なく、不正であり、「TRACUR」の亜種です。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\{random}32.dll
• %Application Data%\SystemProc\upd.exe
• %Application Data%\{CLSID}.manifest
• %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\chrome.manifest
• %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\chrome\xulcache.jar
• %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\defaults\preferences\xulcache.js
• %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\install.rdf
• %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome.manifest
• %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome\content\timer.xul
• %Program Files%\Mozilla Firefox\extensions\{CLSID}\install.rdf

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\SystemProc\lsass.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\SystemProc
• %Program Files%\Mozilla Firefox\extensions\{CLSID}
• %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome
• %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome\content
• %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\defaults
• %Application Data%\Mozilla\Firefox\Profiles\{hex}.default\extensions\{CLSID}\defaults\preferences
• %Program Files%\Mozilla Firefox\extensions\{CLSID}\chrome\content

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
RTHDBPL = "%Application Data%\SystemProc\lsass.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
RTHDBPL = "{Malware path and file name}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify
{random} = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify\{random}
DllName = "%System%\{random}32.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify\{random}
Startup = "EventStartup"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
{random} = "{Hex Values}"

HKEY_CURRENT_USER\Identities
Curr version = "11"

HKEY_CURRENT_USER\Identities
Inst Date = "{DD-M-YYYY}"

HKEY_CURRENT_USER\Identities
Last Date = "{DD-M-YYYY}"

HKEY_CURRENT_USER\Identities
Popup count = "0"

HKEY_CURRENT_USER\Identities
Popup date = "0"

HKEY_CURRENT_USER\Identities
Popup time = "0"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "%System%\{random}32.dll"

(註：変更前の上記レジストリ値は、「" "」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.93.190/conn
• {BLOCKED}.{BLOCKED}.93.190/conn
• {BLOCKED}.{BLOCKED}.1.173/inq/
• {BLOCKED}.{BLOCKED}.1.173/ppfd/
• {BLOCKED}.{BLOCKED}.1.176/inq/
• {BLOCKED}hn.info/inq/
• {BLOCKED}ggym.com/conn
• {BLOCKED}hd38j.info/pxsm/
• {BLOCKED}ime.com/conn
• {BLOCKED}opksh.info/mzeq/
• {BLOCKED}hn.info/inq/
• http://{BLOCKED}llqz.com/inst.php?aid=hidden
• http://{BLOCKED}llrx.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}lltx.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}x.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}on7.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}o.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}r.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}ebox.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}ebox.com/update.php?sd={date}&aid=hidden
• http://{BLOCKED}traffik.ru/request.php?aid={date}&ver={hex}
• http://{BLOCKED}request1.com/request.php?aid={date}&ver={hex}
• http://{BLOCKED}900.com/se.php?pop=1&aid={hex}&sid={date}&key={keyword search}
• http://{BLOCKED}enter.com/se.php?pop=1&aid={hex}&sid={date}&key={keyword search}
• http://{BLOCKED}cn1.com/se.php?pop=1&aid={hex}&sid={date}&key={keyword search}