TROJ_AGENT_020738.TOMB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Temp%\ish52109
• %User Temp%\ish52109\css
• %User Temp%\ish52109\css\sdk-ui
• %User Temp%\ish52109\css\sdk-ui\images
• %User Temp%\ish52109\defaultOffer
• %User Temp%\ish52109\defaultOffer\Babylon
• %User Temp%\ish52109\defaultOffer\images
• %User Temp%\ish52109\images
• %User Temp%\ish52109\locale
• %User Temp%\is1566002423

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DirectDraw\MostRecentApplication
Name = "{malware file name}"

(註：変更前の上記レジストリ値は、「iexplore.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DirectDraw\MostRecentApplication
ID = "2a425e19"

(註：変更前の上記レジストリ値は、「41107b81」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\0000CB8D.log
• %User Temp%\ish52109\css\ie6_main.css
• %User Temp%\ish52109\css\main.css
• %User Temp%\ish52109\css\sdk-ui\browse.css
• %User Temp%\ish52109\css\sdk-ui\button.css
• %User Temp%\ish52109\css\sdk-ui\checkbox.css
• %User Temp%\ish52109\css\sdk-ui\images\button-bg.png
• %User Temp%\ish52109\css\sdk-ui\images\progress-bg-corner.png
• %User Temp%\ish52109\css\sdk-ui\images\progress-bg.png
• %User Temp%\ish52109\css\sdk-ui\images\progress-bg2.png
• %User Temp%\ish52109\css\sdk-ui\progress-bar.css
• %User Temp%\ish52109\csshover3.htc
• %User Temp%\ish52109\defaultOffer\Babylon\offer_code.txt
• %User Temp%\ish52109\defaultOffer\Babylon\offer_html.txt
• %User Temp%\ish52109\defaultOffer\images\Soft32_Img.png
• %User Temp%\ish52109\defaultOffer\images\toolbar.png
• %User Temp%\ish52109\defaultOffer\offer_code.txt
• %User Temp%\ish52109\defaultOffer\offer_html.txt
• %User Temp%\ish52109\images\BG1.png
• %User Temp%\ish52109\images\BG2.png
• %User Temp%\ish52109\images\Close.png
• %User Temp%\ish52109\images\Close_Hover.png
• %User Temp%\ish52109\images\Color_Button.png
• %User Temp%\ish52109\images\Color_Button_Hover.png
• %User Temp%\ish52109\images\Gray_Button.png
• %User Temp%\ish52109\images\Gray_Button2.png
• %User Temp%\ish52109\images\Gray_Button2_Hover.png
• %User Temp%\ish52109\images\Gray_Button_Hover.png
• %User Temp%\ish52109\images\icon_generic.png
• %User Temp%\ish52109\images\loader.gif
• %User Temp%\ish52109\images\Prod_Circle.png
• %User Temp%\ish52109\images\ProgressBar.png
• %User Temp%\ish52109\images\ProgressBar_Element.png
• %User Temp%\ish52109\locale\EN.locale
• %User Temp%\ish52109\bootstrap_1202.html
• %User Temp%\0000E203.log
• %User Temp%\icreinstall_{malware file name}
• %Desktop%\Continue avast! Antivirus Free Installation.lnk
• %User Temp%\0000E3A9.log
• %User Temp%\is1566002423\58303_Setup.DAT

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://os.{BLOCKED}cdn.com/v1.0.1/?v=2.0&c=887779195
• http://files.{BLOCKED}2.com/9/81088/772945/setup-av-free.exe?{random characters}
• http://os.{BLOCKED}cdn.com/9/81088/772945/setup-av-free.exe?{random characters}

このウイルス情報は、自動解析システムにより作成されました。