TROJ_CRYPTOP.KLS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• C:\tempfile\randseed.bin
• C:\tempfile\pubring.pgp
• C:\tempfile\tiso.bat --> this file contains the command line used for extracting downloaded file

マルウェアは、以下のフォルダを作成します。

• C:\tempfile

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}ail.com/base.rar
• http://{BLOCKED}ail.com/rar

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\tempfile\base.rar
• C:\tempfile\rar.exe --> this is a non-malicious file used for extracting downloaded rar file

マルウェアは、ダウンロードしたファイルを実行します。

その他

マルウェアが作成する以下のコンポーネントファイルは、ダウンロードされるファイルを抽出するために利用されるコマンドラインを含んでいます。

• C:\tempfile\tiso.bat

マルウェアがダウンロードする以下のファイルは、ダウンロードされるRAR形式のファイルを抽出するために利用される無害なファイルです。

• C:\tempfile\rar.exe

マルウェアは実行されると、以下のメッセージボックスを表示します。

マルウェアがダウンロードするファイル"BASE.RAR"は、作成されるバッチファイル"TISO.BAT"を用いて抽出されます。このバッチファイルは以下のラインを含んでいます。

> rar e -ptisofaraba base.rar

以下のファイルが抽出されます。

• mansound.exe - 「TROJ_GULCRYPT.A」として検出
• mask.win
• pgp.exe

そして、マルウェアは抽出されたファイル"mansound.exe"を実行します。