TROJ_DLDR.TRC

2012年10月12日

別名:

TrojanDownloader:Win32/Tracur.AF (Microsoft); Generic Spy.m (McAfee); Trojan.Gen.2 (Symantec); Trojan.Win32.FakeAV.iihn (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Trojan.Generic.6685406 (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 559,104 bytes

タイプ EXE

メモリ常駐はい

発見日 2011年11月15日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%Application Data%\Microsoft\MicrosoftUpdate
%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%User Temp%\3.dir
%System%\Macromed\Flash

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Update = "%Application Data%\Microsoft\MicrosoftUpdate\Microsoftupdt32.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MouseVerifierOnline = "rundll32.exe "%User Profile%\Application Data\MouseVerifierOnline.dll",DllRegisterServer"

マルウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{D0CEBC9E-38E9-414C-8182-5941FDB56BD9}

他のシステム変更

マルウェアは、以下のファイルを削除します。

%Windows%\Downloaded Program Files\SET7.tmp
%Windows%\Downloaded Program Files\swflash64.inf
%User Temp%\4.tmp

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\Certificates

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\CRLs

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\CTLs

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
Certificates

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
CRLs

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
CTLs

HKEY_CLASSES_ROOT\Bjqafszomr\CLSID

HKEY_CLASSES_ROOT\CLSID\{13ae0e1a-ed3c-4228-bb45-b5f03ca36e6c}

HKEY_USERS\.DEFAULT\Software\
Bjqafszomr\CLSID

HKEY_USERS\S-1-5-19\Software\
Bjqafszomr\CLSID

HKEY_USERS\S-1-5-19_Classes\Software\
Bjqafszomr\CLSID

HKEY_USERS\S-1-5-20\Software\
Bjqafszomr\CLSID

HKEY_USERS\S-1-5-20_Classes\Software\
Bjqafszomr\CLSID

HKEY_USERS\S-1-5-21-4025279379-4087772427-2915903831-500\Software\
Bjqafszomr\CLSID

HKEY_USERS\S-1-5-21-4025279379-4087772427-2915903831-500_Classes\Software\
Bjqafszomr\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.fsharproj\PersistentHandler

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects

HKEY_CLASSES_ROOT\CLSID\{D0CEBC9E-38E9-414C-8182-5941FDB56BD9}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D0CEBC9E-38E9-414C-8182-5941FDB56BD9}\InprocServer32

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
DisableFirstRunCustomize = 1

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Check_Associations = "no"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EB6D578499B1CCF5F581EAD56BE3D9B6744A5E5
Blob = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
XMLHTTP_UUID_Default = {random values}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D0CEBC9E-38E9-414C-8182-5941FDB56BD9}\InprocServer32
ThreadingModel = "Both"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
EventMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「%System%\ESENT.dll」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「%System%\ESENT.dll」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryCount = 1

(註：変更前の上記レジストリ値は、「10」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
TypesSupported = 7

(註：変更前の上記レジストリ値は、「7」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = {random values}