TROJ_ALUREON.ALW

マルウェアは、マスター・ブート・レコード（MBR）へ自身のコードを上書きしますが、これにより、コンピュータの起動ができないなどの問題が発生する恐れがあります。

マルウェアは、感染コンピュータ上で特定のクエリを実行します。

マルウェアは、非表示のデバイス内に複数のコンポーネントを作成します。作成されるコンポーネントは、感染コンピュータが32bitか64bitにより異なります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

マルウェアは、情報収集する機能を備えていません。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\Realtek_AC97.exe
• %User Temp%\{random}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• svchost.exe

感染活動

マルウェアは、ワーム活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、MBRへ自身のコードを上書きし、Windowsの起動時に自身のコンポーネントが自動実行されるようにします。

マルウェアは、感染コンピュータ上で以下のクエリを実行します。

• SELECT * FROM Win32_BIOS WHERE Manufacturer LIKE "%Xen%"
• SELECT * FROM Win32_BIOS WHERE Manufacturer LIKE "%QEMU%"
• SELECT * FROM Win32_BIOS WHERE Manufacturer LIKE "%Bochs%"
• SELECT * FROM Win32_DiskDrive WHERE Model LIKE "%Xen%"
• SELECT * FROM Win32_DiskDrive WHERE Model LIKE "%QEMU%"
• SELECT * FROM Win32_DiskDrive WHERE Model LIKE "%Bochs%"
• SELECT * FROM Win32_DiskDrive WHERE Model LIKE "%Red Hat%"
• SELECT * FROM Win32_SCSIController WHERE Name LIKE "%Citrix%"
• SELECT * FROM Win32_SCSIController WHERE Manufacturer LIKE "%Xen%"
• SELECT * FROM Win32_SCSIController WHERE Manufacturer LIKE "%Red Hat%"
• SELECT * FROM Win32_Processor WHERE Name LIKE "%QEMU%"
• SELECT * FROM Win32_Process WHERE Name = "CaptureClient.exe"

マルウェアは、これらのクエリにより、自身がサンドボックスまたは仮想環境下で実行されているのかを確認します。

マルウェアは、非表示のファイルシステム内に、以下のコンポーネントを作成します。作成されるコンポーネントは、感染コンピュータが32bitか64bitにより異なります。

• cmd32.dll / cmd64.dll - この不正プログラムとして検出
• dbg32 / dbg64 - 「TROJ_TDSS.ADH」／「TROJ_TDSS.BME」として検出
• drv32.sys / drv64.sys - この不正プログラムとして検出
• ldr32.exe / ldr64.exe - 「TROJ_TDSS.BMG」／「TROJ_TDSS.BMH」として検出
• main - 環境設定ファイル

また、マルウェアは、以下のURLにアクセスし、追加のコンポーネントをダウンロードします。

• http://{BLOCKED}don-＜ランダムな数値＞.com/cat/v3
• http://{BLOCKED}at-＜ランダムな数値＞.com/cat/v3
• http://{BLOCKED}en-＜ランダムな数値＞.com/cat/v3
• http://{BLOCKED}ck-＜ランダムな数値＞.com/cat/v3
• http://{BLOCKED}ila.com/cat/v3
• http://{BLOCKED}zuck.com/cat/v3
• http://{BLOCKED}etclick.com/cat/v3

なお、生成されるURLは、接続時により異なります。

この際、マルウェアは、上記のURLの末尾に以下を追加します。

• /files/mods/cmd32
• /files/mods/bbr232
• /files/mods/serf332

以下は、追加のコンポーネントがダウンロードされるURLの例です。

• http://{BLOCKED}852171.com/cat/v3/files/mods/cmd32

ダウンロードされたファイルは、暗号化されています。ダウンロードされたファイル "bbr232" および "serf332" は、復号されると、以下のプロセスのいずれかに組み込まれます。

• iexplore.exe
• explorer.exe
• firefox.exe
• safari.exe
• chrome.exe
• WebKit2WebProce
• WebKit2WebProc

さらに、マルウェアは、以下の正規サイトに組み込まれている画像に、自身のバックアップ用環境設定ファイルを保存します。

• http://{BLOCKED}yq.wordpress.com/
• http://{BLOCKED}aqevi.livejournal.com/
• http://{BLOCKED}vubi.wordpress.com/
• http://{BLOCKED}ejuq.livejournal.com/
• http://{BLOCKED}vesoja.wordpress.com/

マルウェアは、上記のURLのページをダウンロードし、以下のタグを検索します。

そして、マルウェアは、"img src" タグが示す "jpg" ファイルを取得し、この画像ファイル（拡張子JPG）をダウンロードします。ダウンロードされたJPGファイルは、暗号化された環境設定ファイルを含んでおり、このファイル内に、このマルウェアのモジュールやサーバ情報、バックアップ用環境設定ファイルのURLなどが記されています。

ダウンロードされたファイルはすべて、このマルウェア自身の非表示のファイルシステムに保存されます。