TROJ_DLOADE.BSM

2012年10月6日

別名:

TrojanDownloader:Win32/Cekar.gen!A (Microsoft); PAK:ASPack, ARC:EmbeddedEXE, PAK:[data0000]:UPack, [data0000]:Trojan-Downloader.Win32.Agent.dex (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 1,342,976 bytes

タイプ EXE

メモリ常駐なし

発見日 2012年10月6日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のファイルを削除します。

%System%\macromed\flash\flash.ocx
%System%\macromed\flash\GetFlash.exe
%System%\macromed\flash\GetFlash.exe.manifest

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1171A62F-05D2-11D1-83FC-00A0C9089C5A}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Control

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\EnableFullPage\
.mfp

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\EnableFullPage\
.spl

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\EnableFullPage\
.swf

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Implemented Categories\
{7DD95801-9882-11CF-9FA9-00AA006C42C4}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Implemented Categories\
{7DD95802-9882-11CF-9FA9-00AA006C42C4}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32\
ThreadingModel

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Control

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MacromediaFlashPaper.MacromediaFlashPaper\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShockwaveFlash.ShockwaveFlash.7

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShockwaveFlash.ShockwaveFlash.7\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}\
Contains

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}\
DownloadInformation

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}\
InstalledVersion

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\ActiveX Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}

HKEY_CLASSES_ROOT\ShockwaveFlash.ShockwaveFlash\Shell\
open\command

HKEY_LOCAL_MACHINE\Software\Macromedia\
FlashPlayer\SafeVersions

HKEY_CLASSES_ROOT\ShockwaveFlash.ShockwaveFlash.8

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShockwaveFlash.ShockwaveFlash.8\CLSID

HKEY_CLASSES_ROOT\ShockwaveFlash.ShockwaveFlash.9

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShockwaveFlash.ShockwaveFlash.9\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\EnableFullPage

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Implemented Categories

HKEY_CLASSES_ROOT\.mfp

HKEY_CLASSES_ROOT\.sol

HKEY_CLASSES_ROOT\.sor

HKEY_CLASSES_ROOT\MacromediaFlashPaper.MacromediaFlashPaper\shell\
open\command

HKEY_CLASSES_ROOT\MacromediaFlashPaper.MacromediaFlashPaper\DefaultIcon

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}\
DownloadInformation
CODEBASE = "http://fpdownload.{BLOCKED}edia.com/pub/shockwave/cabs/flash/swflash.cab"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}\
DownloadInformation
INF = "%Windows%\Downloaded Program Files\swflash.inf"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}\
InstalledVersion
LastModified = "Tue, 20 Apr 2005 14:15:45 GMT"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}
Installer = "MSICD"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{D27CDB6E-AE6D-11CF-96B8-444553540000}
SystemComponent = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\ActiveX Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}
Compatibility Flags = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashPlayer\SafeVersions
6.0 = "54"

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashPlayer\SafeVersions
7.0 = "3f"

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashPlayer\SafeVersions
8.0 = "18"

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashPlayer\SafeVersions
9.0 = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.mfp
Content Type = "application/x-shockwave-flash"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.sol
Content Type = "text/plain"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.sor
Content Type = "text/plain"

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashPlayer
CurrentVersion = "9,0,16,0"

HKEY_CLASSES_ROOT
.grp = "MSProgramGroup"

HKEY_CLASSES_ROOT
MSProgramGroup = "Microsoft Program Group"

HKEY_CLASSES_ROOT
MSProgramGroup\Shell\Open\Command = "%System%\grpconv.exe %1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{1171A62F-05D2-11D1-83FC-00A0C9089C5A}\InprocServer32
ThreadingModel = "Apartment"

(註：変更前の上記レジストリ値は、「Apartment」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32
ThreadingModel = "Apartment"

(註：変更前の上記レジストリ値は、「Apartment」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{57A0E747-3863-4D20-A811-950C84F1DB9B}\TypeLib
Version = "1.0"

(註：変更前の上記レジストリ値は、「1.0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D27CDB6C-AE6D-11CF-96B8-444553540000}\TypeLib
Version = "1.0"

(註：変更前の上記レジストリ値は、「1.0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{D27CDB6D-AE6D-11CF-96B8-444553540000}\TypeLib
Version = "1.0"

(註：変更前の上記レジストリ値は、「1.0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32
ThreadingModel = "Apartment"

(註：変更前の上記レジストリ値は、「Apartment」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.spl
Content Type = "application/futuresplash"

(註：変更前の上記レジストリ値は、「application/futuresplash」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.swf
Content Type = "application/x-shockwave-flash"

(註：変更前の上記レジストリ値は、「application/x-shockwave-flash」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/futuresplash
Extension = ".spl"

(註：変更前の上記レジストリ値は、「.spl」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/futuresplash
CLSID = "{D27CDB6E-AE6D-11cf-96B8-444553540000}"

(註：変更前の上記レジストリ値は、「{D27CDB6E-AE6D-11cf-96B8-444553540000}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-shockwave-flash
Extension = ".swf"

(註：変更前の上記レジストリ値は、「.swf」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-shockwave-flash
CLSID = "{D27CDB6E-AE6D-11cf-96B8-444553540000}"

(註：変更前の上記レジストリ値は、「{D27CDB6E-AE6D-11cf-96B8-444553540000}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{57A0E747-3863-4D20-A811-950C84F1DB9B}\TypeLib
Version = "1.1"

(註：変更前の上記レジストリ値は、「1.0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\GrpConv
Log = "Init Application."