TROJ_DLOADE.BFC

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。

マルウェアは、情報収集する機能を備えていません。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_DROPTER.HNY

インストール

マルウェアは、以下のファイルを作成し実行します。

• %User Profile%\Applications\Microsoft\msviewer.exe - modified copy of itself, dropped when user is not administrator, detected as TROJ_DLOADE.SMC2
• %Program Files%\Windows NT\Accessories\Microsoft\msviewer.exe - modified copy of itself, dropped when user is administrator, detected as TROJ_DLOADE.SMC2

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\Windows NT\Accessories\Microsoft
• %User Profile%\Applications\Microsoft

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\Windows Message.lnk (Versions lower than Windows Vista)- shortcut to its modified drop copy
• %Start Menu%\Programs\Startup\Windows Message.lnk (Windows Vista and higher versions) -shortcut to its modified drop copy

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• http://{BLOCKED}g.twinkes.net/otete2/css/topblack.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\msupdata.exe - it will be executed
• %User Temp%\{random}.tmp – this will be created if unable to create 'msupdata.exe', it will be executed

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、実行後、自身を削除します。

マルウェアが作成し、実行する以下のファイルは、改変された自身のコピーであり、「TROJ_DLOADE.SMC2」として検出されます。

• %User Profile%\Applications\Microsoft\msviewer.exe(ユーザが管理者でない場合)
• %Program Files%\Windows NT\Accessories\Microsoft\msviewer.exe（ユーザが管理者の場合）

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。以下のファイルは、改変され、作成されたコピーへのショートカットです。

• %User Startup%\Windows Message.lnk (Windows Vista 未満のバージョンの場合)
• %Start Menu%\Programs\Startup\Windows Message.lnk (Windows Vista およびそれ以降のバージョンの場合)

マルウェアは、以下のファイル名でダウンロードしたファイルを保存し、実行します。

• %User Temp%\msupdata.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。ファイルは、"msupdata.exe"が作成できない場合に、作成され実行されます。

• %User Temp%\{random}.tmp

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。