TROJ64_INJECT.CPX

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_PIDIEF.KGM

インストール

マルウェアは、以下のフォルダを作成します。

• {Malware Path}\{random}
• %User Temp%\Low

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• JKDFHIUEJDH
• HDIWJDGHWJK

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}loner.es/index.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\Low\cr{random}.tmp - renamed to {Malware Path}\lbarhelp64.dll
• %User Temp%\Low\ia{random}.tmp - renamed to {Malware Path}\lbarext64.dll

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアがダウンロードし、"%User Temp%\Low\cr＜ランダム＞.tmp" として保存されるファイルは、以下のファイル名へ変更されます。

• ＜マルウェアのパス名＞\lbarhelp64.dll

マルウェアがダウンロードし、"%User Temp%\Low\ia＜ランダム＞.tmp" として保存されるファイルは、以下のファイル名へ変更されます。

• ＜マルウェアのパス名＞\lbarext64.dll