TROJ_DLOADE.AQY

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。 マルウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• • %User Temp%\nss3F.tmp\FINDPROCDLL.DLL
  • %User Temp%\nss3F.tmp\KILLPROCDLL.DLL
  • %User Temp%\LICENSEEN.BMP
  • %System%\1028\desktop.ini
  • %System%\1037\mfc71.dll
  • %User Temp%\nss3F.tmp\INSTALLOPTIONS.DLL
  • %User Temp%\nss3F.tmp\System.dll
• • C:\windows\ld15.exe
• • {BLOCKED}
  • {BLOCKED}
  • {BLOCKED}

マルウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• 
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
  Services\ Xiirvnnvv

• • %System%\controll.exe
  • %System%\dll.exe
  • %System%\kill.bat
• • %User Temp%\AGSetup.exe
  • %User Temp%\hahayx.exe
  • %User Temp%\THEWORLD_OEM_6.EXE
  • %User Temp%\nsl42.tmp\IOSPECIAL.INI
  • %User Temp%\nsl42.tmp\MODERN-WIZARD.BMP
  • %Application Data%\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\LAUNCH INTERNET EXPLORER BROWSER.LNK

（註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。）

（註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 ""C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"" 、 Windows NTの場合 ""C:\WINNT\Profiles\＜ユーザ名＞\Application Data""、Windows 98 および MEの場合、""C:\Windows\Profiles\＜ユーザ名＞\Application Data"" です。）