TROJ_CRYPT.VTQ

2014年5月19日

別名:

TrojanDownloader:Win32/Upatre.A (Microsoft); Trojan-Spy.Win32.Zbot.side (Kaspersky); Troj/Mdrop-FZC (Sophos)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

詳細

ファイルサイズ 24,576 bytes

タイプ EXE

メモリ常駐はい

発見日 2014年5月8日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%User Temp%\Qiyfyv
%User Temp%\VWN8B85
%User Temp%\DQO7554
%User Profile%\Microsoft\Address Book

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Deukhy = "%User Temp%\Qiyfyv\deukhy.exe "

他のシステム変更

マルウェアは、以下のファイルを削除します。

%User Temp%\openpdf.exe

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
36ed30e5 = "l0asrcrJGs+7mOcz+37a2w==?_CHAR(0x07)_?"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
31i1ej03 = "{random values}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
7590:UDP = "7590:UDP:*:Enabled:UDP 7590"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
4806:TCP = "4806:TCP:*:Enabled:TCP 4806"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
13374i3b = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
2dd4297i = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
1f4bi87a = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
1f4bi87a = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
2dd4297i = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
30d1fcfj = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
105h1ah0 = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
348hafhd = "yPvy/g==_CHAR(0x0F)__CHAR(0x03)_R_CHAR(0x08)_?O???????????????"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
jc6bdih = "p0abrfrJL8/umKwzn36q2+dgb5oOdxAaWL55HzhXyWYZ+wqQ_CHAR(0x03)_r"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
1a89aaej = "bvvy/ntTlWXqVgNvheQLjSxlOqBUsb6v_CHAR(0x02)_w_CHAR(0x0C)_a_CHAR(0x01)__CHAR(0x11)_"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
jc6bdih = "p0abrfrJL8/umKwzn36q2+dgb5oOdxAaWL55HzhXyWYZ+wqQ_CHAR(0x03)_r_CHAR(0x0F)_"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
1a89aaej = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server ID = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server ID = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server ID = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server ID = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = "4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVer = "4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVerNTDS = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
Account Name = "Active Directory"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Authentication = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Simple Search = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Bind DN = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Port = "cc4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Resolve Flag = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Secure Connection = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP User Name = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Base = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
Account Name = "Bigfoot Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server = "ldap.bigfoot.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP URL = "http://www.{BLOCKED}t.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Logo = "%ProgramFiles%\Common Files\Services\bigfoot.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
Account Name = "VeriSign Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server = "directory.verisign.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP URL = "http://www.{BLOCKED}gn.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Base = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Logo = "%ProgramFiles%\Common Files\Services\verisign.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
Account Name = "WhoWhere Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server = "ldap.whowhere.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP URL = "http://www.{BLOCKED}re.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Logo = "%ProgramFiles%\Common Files\Services\whowhere.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Default LDAP Account = "Active Directory GC"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
Identity Ordinal = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Ejxibuojjy
31i1ej03 = "9kabrQ==è_CHAR(0x03)_"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"