TROJ_AMBLER.KA

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\Application Data\lrarts47.dll or %User Profile%\Application Data\juuglpbd5.dll -TSPY_AMBLER.KA
• %User Profile%\Application Data\Sun\ftk

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\Sun

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
lpc = "rundll32.exe %User Profile%\Application Data\Sun\{lrarts47.dll or juuglpbd5.dll}, RegisterDll"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Profile%\Application Data\Sun\rwbbr.txt
• %User Profile%\Application Data\Sun\oietr.txt
• %User Profile%\Application Data\Sun\cngrh.txt
• %User Profile%\Application Data\Sun\vntw.txt
• %User Profile%\Application Data\Sun\mogr.txt
• %User Profile%\Application Data\Sun\cetw.txt
• %User Profile%\Application Data\Sun\mxd1.txt

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Clock
D1 = "2d 2d 21 2d 2d"

HKEY_CURRENT_USER\Software\Microsoft\
Clock
D2 = "22 20 2E 23 23"

HKEY_CURRENT_USER\Software\Microsoft\
Clock
D3 = "2f 22 2f 2c"

HKEY_CURRENT_USER\Software\Microsoft\
Clock
pr = "66 7A 78 70 70 64 76 7A 79 7B 7E 38 77 7A 7B"

その他

マルウェアは、実行後、自身を削除します。