TROJ_AGENT_034440.TOMB

2012年10月13日

別名:

Generic.dx!bajq (McAfee); Trojan.Gen (Symantec); PAK:PE_Patch.PECompact, PAK:PecBundle, PAK:PECompact (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Dropped:Trojan.Generic.6769446 (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 22,564 bytes

タイプ EXE

メモリ常駐なし

発見日 2012年6月22日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

%System Root%\setup.ad
%System Root%\setup1.ad
%Windows%\fonts\msgothic.ttf
%Windows%\fonts\msuigoth.ttf
%Windows%\fonts\MSMINCHO.TTF
%Windows%\fonts\Gulim.ttf
%Windows%\fonts\Gulimche.ttf
%Windows%\fonts\Dotum.ttf
%Windows%\fonts\Batang.ttf
%Windows%\fonts\Gungsuh.ttf
%Windows%\fonts\Simsun.ttf
%Windows%\fonts\nsimsun.ttf
%Windows%\fonts\MingLiU.ttf
%Windows%\fonts\pmingliu.ttf
%System%\SET6.tmp
%System%\kbd101b.dll
%System%\SET8.tmp
%System%\kbd101c.dll
%System%\SETA.tmp
%System%\kbd103.dll
%System%\SETC.tmp
%System%\kbd106.dll
%System%\SETE.tmp
%System%\kbdjpn.dll
%System%\SET10.tmp
%System%\kbdkor.dll

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\Directory\Background\
shellex\ContextMenuHandlers\{FCO94F33-9210-4A7D-AAE9-BB0310CB1D10}

HKEY_CLASSES_ROOT\*\shellex\
ContextMenuHandlers\{FCO94F33-9210-4A7D-AAE9-BB0310CB1D10}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{42E245AA-0C25-428F-98FA-55DC9CA83E6D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{42E245AA-0C25-428F-98FA-55DC9CA83E6D}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{42E245AA-0C25-428F-98FA-55DC9CA83E6D}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{42E245AA-0C25-428F-98FA-55DC9CA83E6D}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{42E245AA-0C25-428F-98FA-55DC9CA83E6D}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{42E245AA-0C25-428F-98FA-55DC9CA83E6D}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}\TypeLib

HKEY_CLASSES_ROOT\CLSID\{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}\InprocServer32

HKEY_CLASSES_ROOT\pIContextMenu.ShellExt

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\Certificates

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\CRLs

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\CTLs

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
Certificates

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
CRLs

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
CTLs

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\International
hTimes = "1"

HKEY_CURRENT_USER\Control Panel\International
nTimes = "66"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}
ProgID = "pIContextMenu.ShellExt"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}
TypeLib = "{42E245AA-0C25-428F-98FA-55DC9CA83E6D}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}
VERSION = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pIContextMenu.ShellExt
Clsid = "{FC094F33-9210-4A7D-AAE9-BB0310CB1D10}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{7AB382B2-27F1-4590-8ED8-871321821585}
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "a"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "0"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"