TROJ_CVIRDAT.D

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

作成活動

マルウェアは、収集した情報を保存するために以下のファイルを作成します。

• %User Temp%\CVR116B.tmp.cvr -> contains current date
• %User Temp%\CVR08E6.tmp.cvr -> contains status/error code of HTTP request

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://trim.{BLOCKED}cry.com/news/page{id}.html

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\CVRA71A.tmp.cvr

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• System Date
• unique identifier from host name

その他

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• {malware path}\iusb3mon.dat -> also detected as TROJ_CVIRDAT.D

マルウェアが作成する以下のファイルは、現在の日付を含んでいます。

• %User Temp%\CVR116B.tmp.cvr

マルウェアが作成する以下のファイルは、HTTPリクエストのステータスおよびエラーコードを含んでいます。

• %User Temp%\CVR08E6.tmp.cvr

マルウェアが収集する情報は、以下のとおりです。

• コンピュータの日付
• ホスト名からunique identifier

マルウェアが自身の不正活動を実行するためには、「TROJ_CVIRDAT.D」として検出される以下のコンポーネントが必要になります。

• {malware path}\iusb3mon.dat

ダウンロードされた環境設定ファイルには、以下の情報が含まれています。

• ダウンロードされる暗号化されたファイルのURL
• 暗号化されたファイルが保存される場所
• 復号されるファイルが保存される場所
• 実行されたファイルのコピーが保存される場所

マルウェアは復号後、ダウンロードされたファイルを実行します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。