TROJ_CLIKUG.D

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\Oxy
• %Start Menu%\Programs\Oxy
• %User Temp%\{malware name}Download

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\Oxy\config.xml
• %Desktop%\PileFile.lnk
• %User Temp%\htmlayout.dll
• %Start Menu%\Programs\Oxy\Uninstall.lnk

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Oxy\oxyinst.exe
• %User Temp%\{malware name}Download\{malware name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Ascensio System

HKEY_CURRENT_USER\Software\Escolade
GUID = "{value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
Comments = "Uninstalling PileFile downloader"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
DisplayIcon = ""%Application Data%\Oxy\oxyinst.exe",1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
DisplayName = "PileFile downloader"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
HelpLink = "www.products-placement.com"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
NoModify = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
NoRepair = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
Publisher = "FINEDREAM INVEST LTD"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{2A4641B4-EDDB-46D1-B34B-F93E19A8B3DB}
UninstallString = ""%Application Data%\Oxy\oxyinst.exe" --elevated --uninstallPileFile"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
Comments = "Uninstalling \PileFile setup - 1.0\"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
DisplayIcon = ""%Application Data%\Oxy\oxyinst.exe",1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
DisplayName = "Oxy"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
HelpLink = "www.products-placement.com"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
NoModify = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
NoRepair = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
Publisher = "FINEDREAM INVEST LTD"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{9AAF2503-6CD5-414A-B5BA-37639B76C91F}
UninstallString = ""%Application Data%\Oxy\oxyinst.exe" --uninstall"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• {BLOCKED}wnloader.com
• www.{BLOCKED}wnload.com
• www.{BLOCKED}-m.com

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\tmp{random}.exe
• %User Temp%\tmp{random}\Bundle.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)