TROJ_BAMTAL.SMIB

マルウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

インストール

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Windows Server

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、以下のファイルを作成します。

• %Application Data%\Windows Server\Windows Server\admin.txt - non-malicious component
• %Application Data%\Windows Server\Windows Server\server.dat - encrypted copy of itself
• %System%\hlp.dat - non-malicious component
• %Temp%\explorer.dat - original copy of explorer.exe
• %Temp%\winlogon.dat - original copy of winlogon.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = 0