TROJ_CLICKER.EYI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
YouPin = "%System%\YouPin.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings
JITDebug = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\advapi32.dll[MofResourceName] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\ACPI.sys[ACPIMOFResource] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\mssmbios.sys[MofResource] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\intelppm.sys[PROCESSORWMI] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\DRIVERS\ipnat.sys[IPNATMofResource] = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\Drivers\HTTP.sys[UlMofResource] = "{random characters}"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\Binder.exe
• %User Temp%\Updater.exe
• %Application Data%\date_realplus.ini
• %System%\YouPin.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}onster.kr/app_map_onoff.php?mac=0050568E0273&p=
• http://www.{BLOCKED}onster.kr/control/ja_process.php
• http://www.{BLOCKED}onster.kr/control/tab_view.php?mac=0050568E0273&p=
• http://www.{BLOCKED}onster.kr/control/wpinfo.php?mac=0050568E0273&p=
• http://www.{BLOCKED}onster.kr/web_setup/op_close_no_site.php?mac=0050568E0273&p=
• http://www.{BLOCKED}onster.kr/web_setup/op_close_site.php
• http://www.{BLOCKED}onster.kr/web_setup/domain_no_view_ip.php
• http://www.{BLOCKED}onster.kr/web_setup/ip_dang_keyword.php
• http://www.{BLOCKED}onster.kr/web_setup/ip_dang_link.php
• http://www.{BLOCKED}onster.kr/control/control_boot2.php?mac=0050568E0273&ptr=

このウイルス情報は、自動解析システムにより作成されました。