TROJ_ADLOAD.MT

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• ％System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\ktv.lnk
• ％User Temp%\fvq4.tmp
• ％User Temp%\h8nil4o8\4.dll
• ％User Temp%\h8nil4o8\b.dll.zgx
• ％User Temp%\h8nil4o8\b.dll.zgx.tmp
• ％User Temp%\h8nil4o8\mtv.exe
• ％User Temp%\h8nil4o8\mtv.exe.tmp
• ％User Temp%\h8nil4o8\p.dll.zgx
• ％User Temp%\h8nil4o8\s.exe
• ％User Temp%\h8nil4o8\s.exe.tmp
• ％User Temp%\h8nil4o8\z.lz
• ％User Temp%\h8nil4o8\_uninstall
• ％User Temp%\hek\2.tmp
• ％User Temp%\hek\tmp.exe
• ％User Temp%\hek\tmp.exe.tmp
• ％User Temp%\hek\_uninstall
• %Windows%\df9d.flv
• %Windows%\Tasks\ms.job
• %System%\-1249041-125
• %System%\2bed.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\h8nil4o8
• %User Temp%\hek

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OSTD
ImagePath = "%System%\2bed.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OSTD
DisplayName = "OSTD"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OSTD
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OSTD
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OSTD
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OSTD
ObjectName = "LocalSystem"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\h8nil4o8\p.dll.zgx.tmp - detected as TROJ_RUGO.SM

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}p.demisetoken.com/t8.exe