TROJ_CHKBOT.NA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\HyhotbUrls
• %User Profile%\HyhotbUrls\Zyuan
• %Program Files%\oA848pt3preqfO
• %Windows%\KomLxiu
• %User Profile%\Application Data\tmpst
• %User Profile%\Application Data\SQ PlatForm

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
oA848pt3preqfO = "%Program Files%\oA848pt3preqfO\oA848pt3preqfO.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %System Root%\SESP20~1.EXE
• %System Root%\SESP20~1.BAT
• %System Root%\SETUP_~1.EXE

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings

HKEY_CURRENT_USER\Software\MyCaseGet

HKEY_CURRENT_USER\Software\oA848pt3preqfO

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\Game_Zhang_121

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\Game_Zhang_121\
DEBUG

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings
JITDebug = "0"

HKEY_CURRENT_USER\Software\MyCaseGet
9977843 = "0"

HKEY_CURRENT_USER\Software\oA848pt3preqfO
AppPath = "%Program Files%\oA848pt3preqfO"

HKEY_CURRENT_USER\Software\oA848pt3preqfO
AboutUs = "50006"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
EventMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryCount = "1"

(註：変更前の上記レジストリ値は、「10」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
TypesSupported = "7"

(註：変更前の上記レジストリ値は、「7」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\Sesp203_nv_u.exe
• %System Root%\setup_50006.exe
• %System Root%\Game_Zhang_121.exe
• %System Root%\sevice_905_45078.exe
• %User Profile%\HyhotbUrls\EdncajGsqxz.exe
• %User Profile%\HyhotbUrls\Zyuan/back.jpg
• %User Profile%\HyhotbUrls\Zyuan/close.jpg
• %User Profile%\HyhotbUrls\Zyuan/close.png
• %User Profile%\HyhotbUrls\Zyuan/config.ini
• %User Profile%\HyhotbUrls\Zyuan/ground.jpg
• %User Profile%\HyhotbUrls\Zyuan/logo.png
• %User Profile%\HyhotbUrls\Zyuan/min.png
• %User Profile%\HyhotbUrls\Zyuan/name.png
• %User Profile%\HyhotbUrls\Zyuan/skin
• %User Profile%\HyhotbUrls\Zyuan/title.jpg
• %User Profile%\HyhotbUrls\SeinynH0encnae
• %System Root%\Sesp203_nv_u.exe.bat
• %Program Files%\oA848pt3preqfO\oA848pt3preqfO.dat
• %Program Files%\oA848pt3preqfO\oA848pt3preqfO.exe
• %Desktop%\????.exe
• %Program Files%\oA848pt3preqfO\GetMyApp.dat
• %Program Files%\oA848pt3preqfO\GetMyApp.exe
• %Windows%\KomLxiu\Houzik.sys
• %User Profile%\tmpst\shst
• %User Temp%\110kk011
• %User Profile%\SQ PlatForm\9042399501616174882
• %User Profile%\SQ PlatForm\5
• %User Profile%\SQ PlatForm\4355426151826907678
• %User Profile%\SQ PlatForm\5819387593380388219

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}9.242.216
• {BLOCKED}.157.233
• {BLOCKED}.252.60
• {BLOCKED}.45.159
• {BLOCKED}6.10.224
• {BLOCKED}7.220.151
• {BLOCKED}8.250.122
• {BLOCKED}4.40.46
• {BLOCKED}6.44.44

このウイルス情報は、自動解析システムにより作成されました。