TROJ_BUMAT.TYI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\LiveHelper.dll - also detected as TROJ_BUMAT.TYI

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{1442E4D0-812A-4000-80BF-CEC0DD23A43C}

HKEY_CLASSES_ROOT\LiveHelper

HKEY_CLASSES_ROOT\LiveHelper.1

HKEY_CLASSES_ROOT\CLSID\{1442E4D0-812A-4000-80BF-CEC0DD23A43C}

HKEY_CLASSES_ROOT\Interface\{F76F3EFE-748A-42F7-98A8-F6C25A7547A3}

HKEY_CLASSES_ROOT\TypeLib\{1B9CAE19-E9FB-4646-B9AC-8169B3C39D0D}

マルウェアは、以下のレジストリ値を追加し、自身をBrowser Helper Object（BHO）として登録します。

HKEY_CLASSES_ROOT\LiveHelper
(Default) = "Windows Live Helper"

HKEY_CLASSES_ROOT\LiveHelper\CLSID
(Default) = "{1442E4D0-812A-4000-80BF-CEC0DD23A43C}"

HKEY_CLASSES_ROOT\LiveHelper\CurVer
(Default) = "LiveHelper.1"

HKEY_CLASSES_ROOT\LiveHelper.1
(Default) = "Windows Live Helper"

HKEY_CLASSES_ROOT\LiveHelper.1\CLSID
(Default) = "{1442E4D0-812A-4000-80BF-CEC0DD23A43C}"

HKEY_CLASSES_ROOT\CLSID\{1442E4D0-812A-4000-80BF-CEC0DD23A43C}\
InprocServer32
(Default) = "%System%\LiveHelper.dll"

HKEY_CLASSES_ROOT\CLSID\{1442E4D0-812A-4000-80BF-CEC0DD23A43C}\
TypeLib
(Default) = "{1B9CAE19-E9FB-4646-B9AC-8169B3C39D0D}"

HKEY_CLASSES_ROOT\Interface\{F76F3EFE-748A-42F7-98A8-F6C25A7547A3}
(Default) = "IEyeIE"

HKEY_CLASSES_ROOT\Interface\{F76F3EFE-748A-42F7-98A8-F6C25A7547A3}\
TypeLib
(Default) = "{1B9CAE19-E9FB-4646-B9AC-8169B3C39D0D}"

HKEY_CLASSES_ROOT\TypeLib\{1B9CAE19-E9FB-4646-B9AC-8169B3C39D0D}\
1.0\0\win32
(Default) = "%System%\LiveHelper.dll"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer
xInput = "login26807230"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer
xPsd = "login55242311"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer
xSUrl = "http://www.{BLOCKED}y.com/rv.asp"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer
xUrl = "http://www.arad.jp/"

情報漏えい

マルウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

• Arad Senki (http://www.arad.jp/)