TROJ_ARDAMAX.FS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\ENDIKO
• %User Profile%\Application Data\UCA
• %User Temp%\is-8L95A.tmp
• %User Temp%\is-DEG76.tmp
• %User Temp%\is-DEG76.tmp\_isetup
• %Program Files%\TibiaBot NG
• %Program Files%\TibiaBot NG\skins
• %Start Menu%\Programs\TibiaBot NG
• %User Profile%\Application Data\TEMP

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
EGV Start = "%User Profile%\ENDIKO\EGV.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Start Menu%\Programs\Ard?m?x Keylogger 4.0.5\Ard?m?x Keylogger 4.0.5.lnk
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG.pif
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG.url
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG Help.pif
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG Help.url
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG on the Web.pif
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG on the Web.url
• %Start Menu%\Programs\TibiaBot NG\Uninstall TibiaBot NG.pif
• %Start Menu%\Programs\TibiaBot NG\Uninstall TibiaBot NG.url
• %Desktop%\TibiaBot NG.pif
• %Desktop%\TibiaBot NG.url

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。)

マルウェアは、以下のフォルダを削除します。

• %Start Menu%\Programs\Ard?m?x Keylogger 4.0.5

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1

HKEY_LOCAL_MACHINE\Software\Licenses

HKEY_CLASSES_ROOT\CLSID\{8F437062-1955-5850-D4B1-2C57F36FFCE2}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8F437062-1955-5850-D4B1-2C57F36FFCE2}\InProcServer32

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: Setup Version = "5.3.8 (a)"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: App Path = "%Program Files%\TibiaBot NG"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
InstallLocation = "%Program Files%\TibiaBot NG"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: Icon Group = "TibiaBot NG"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: User = "Wilbert"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: Selected Tasks = "desktopicon"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: Deselected Tasks = "quicklaunchicon"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Inno Setup: Language = "english"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
DisplayName = "TibiaBot NG 4.9.7"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
UninstallString = "%Program Files%\TibiaBot NG\unins000.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
QuietUninstallString = "%Program Files%\TibiaBot NG\unins000.exe /SILENT"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
Publisher = "NGSoft, LLC"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
URLInfoAbout = "http://www.{BLOCKED}ot.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
HelpLink = "http://www.{BLOCKED}ot.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
URLUpdateInfo = "http://www.{BLOCKED}ot.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1
InstallDate = "20131119"

HKEY_LOCAL_MACHINE\SOFTWARE\Licenses
{R7C0DB872A3F777C0} = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Licenses
{K7C0DB872A3F777C0} = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8F437062-1955-5850-D4B1-2C57F36FFCE2}\InProcServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Licenses
{I1FE0CF141D6D3465} = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Licenses
{01FE0CF141D6D3465} = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\advapi32.dll[MofResourceName] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\ACPI.sys[ACPIMOFResource] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\mssmbios.sys[MofResource] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\intelppm.sys[PROCESSORWMI] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\ipnat.sys[IPNATMofResource] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\Drivers\HTTP.sys[UlMofResource] = "{random characters}"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
RFC1156Agent\CurrentVersion\Parameters
TrapPollTimeMilliSecs = "3a98"

(註：変更前の上記レジストリ値は、「3a98」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
TibiaBot NG_is1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8F437062-1955-5850-D4B1-2C57F36FFCE2}\Version

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\ENDIKO\EGV.exe
• %User Profile%\ENDIKO\EGV.00
• %User Profile%\ENDIKO\EGV.01
• %User Profile%\ENDIKO\EGV.02
• %System Root%\setup-4.9.7.exe
• %User Profile%\UCA\EGV.004
• %User Temp%\is-8L95A.tmp\setup-4.9.7.tmp
• %User Temp%\is-DEG76.tmp\_isetup\_RegDLL.tmp
• %User Temp%\is-DEG76.tmp\_isetup\_shfoldr.dll
• %Program Files%\TibiaBot NG\unins000.dat
• %Program Files%\TibiaBot NG\is-6GH25.tmp
• %Program Files%\TibiaBot NG\is-K11A7.tmp
• %Program Files%\TibiaBot NG\is-9SMOP.tmp
• %Program Files%\TibiaBot NG\is-12V0P.tmp
• %Program Files%\TibiaBot NG\skins\is-ML154.tmp
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG.lnk
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG Help.lnk
• %Start Menu%\Programs\TibiaBot NG\TibiaBot NG on the Web.lnk
• %Start Menu%\Programs\TibiaBot NG\Uninstall TibiaBot NG.lnk
• %Desktop%\TibiaBot NG.lnk

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。)

このウイルス情報は、自動解析システムにより作成されました。