TROJ_BREDOLAB.KO

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\statcss.exe - detected as TROJ_HILOTI.SMEO
• %System%\sattcp.exe - detected as TROJ_FAKEAV.SMSK
• %Windows%\mlprvd.dll - detected as TROJ_HILOTI.SMEO

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\NvTaskbarIne.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Nvidia Control Center4 = %System%\NvTaskbarIne.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Nvideo4

HKEY_LOCAL_MACHINE\SOFTWARE\Nvideo4

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
nvidia07 = 11

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
nvidia08 = 24

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StarndardProfile\AuthorizedApplications\
List
%System%\NvTaskbarIne.exe = "%System%\NvTaskbarIne.exe:*:Enabled:Explorer"

作成活動

マルウェアは、作成されたファイルを実行します。