TROJ_AGENT_036758.TOMB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\apppatch\chaqykk.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
userinit = "%System%\userinit.exe,%Windows%\apppatch\chaqykk.exe,"

(註：変更前の上記レジストリ値は、「%Windows%\system32\userinit.exe,」となります。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\1.tmp
• %Windows%\SoftwareDistribution\DataStore\Logs\edbtmp.log

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
f0bdff95 = "{random characters}"

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\apppatch\chaqykk.exe
• %Temp%\2.tmp
• %Temp%\3.tmp
• %Temp%\B.tmp
• %Temp%\8.tmp
• %Temp%\7.tmp
• %Temp%\D.tmp
• %Temp%\F.tmp
• %Temp%\10.tmp
• %Temp%\13.tmp
• %Temp%\15.tmp
• %Temp%\18.tmp
• %Temp%\19.tmp
• %Temp%\1B.tmp
• %Temp%\1D.tmp
• %Temp%\1E.tmp
• %Temp%\21.tmp

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}r.com/login.php
• http://{BLOCKED}m.com/login.php
• http://{BLOCKED}s.com/login.php
• http://{BLOCKED}l.com/login.php
• http://{BLOCKED}x.com/login.php
• http://{BLOCKED}b.com/login.php
• http://{BLOCKED}p.com/login.php
• http://{BLOCKED}z.com/login.php
• http://{BLOCKED}g.com/login.php
• http://{BLOCKED}c.com/login.php
• http://{BLOCKED}w.com/login.php
• http://{BLOCKED}h.com/login.php
• http://{BLOCKED}d.com/login.php
• http://{BLOCKED}q.com/login.php
• http://{BLOCKED}v.com/login.php
• http://{BLOCKED}f.com/login.php
• http://{BLOCKED}j.com/login.php
• http://{BLOCKED}n.com/login.php

このウイルス情報は、自動解析システムにより作成されました。