TROJ_DLOADE.FFZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\522527ea140ba0a268015307\522527ea140ba0a268015307.exe
• %User Temp%\nsf3.tmp\522527ea140ba0a268015307.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\nsf3.tmp
• %System Root%\Documents and Settings\Wilbert
• %User Profile%\Application Data\522527ea140ba0a268015307
• %User Profile%\Application Data\Video Media Download
• %User Temp%\nsh18.tmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
522527ea140ba0a268015307 = "{random characters}"

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %System%\WBEM\AutoRecover\88744D2A29102FC88ECF505DD2E984FC.mof

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のファイルを削除します。

• %User Temp%\nsl1.tmp
• %User Temp%\nsf3.tmp
• %User Temp%\nsf3.tmp\ns13.tmp
• %User Temp%\nsf3.tmp\nsFA.tmp
• %User Temp%\nsf3.tmp\ns114.tmp
• %User Temp%\nsf3.tmp\ns132.tmp
• %User Temp%\nsf3.tmp\ns150.tmp
• %User Temp%\nsf3.tmp\ns16D.tmp
• %User Temp%\nsf3.tmp\ns189.tmp
• %User Temp%\nsf3.tmp\ns1A7.tmp
• %User Temp%\nsf3.tmp\ns1C1.tmp
• %User Temp%\nsw16.tmp
• %User Temp%\nsh18.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Wbem\WMIC

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Wbem\WMIC

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "ffffffff"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
Cli.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mfl = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "49"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130305573935937500"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs = "{random characters}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130305574525625000"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130305574536875000"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\nsf3.tmp\IpConfig.dll
• %User Temp%\nsf3.tmp\System.dll
• %User Temp%\nsf3.tmp\inetc.dll
• %User Temp%\nsf3.tmp\tmp_13242.txt
• %User Temp%\nsf3.tmp\registry.dll
• %User Temp%\nsf3.tmp\nsExec.dll
• %User Temp%\nsf3.tmp\UserInfo.dll
• %User Temp%\nsf3.tmp\av.vbs
• %User Temp%\nsh18.tmp\IpConfig.dll
• %User Temp%\nsh18.tmp\System.dll
• %User Temp%\nsh18.tmp\ThreadTimer.dll
• %User Temp%\nsh18.tmp\inetc.dll
• %User Temp%\nsh18.tmp\request.txt
• %User Temp%\tmp22.tmp
• %User Temp%\tmp29.tmp
• %System%\WBEM\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
• %User Temp%\tmpE5.tmp
• %System%\WBEM\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
• TempWmicBatchFile.bat
• %User Temp%\nsf3.tmp\ns13.tmp
• %User Temp%\nsf3.tmp\nsFA.tmp
• %User Temp%\nsf3.tmp\ns114.tmp
• %User Temp%\nsf3.tmp\ns132.tmp
• %User Temp%\nsf3.tmp\ns150.tmp
• %User Temp%\nsf3.tmp\ns16D.tmp
• %User Temp%\nsf3.tmp\ns189.tmp
• %User Temp%\nsf3.tmp\ns1A7.tmp
• %User Temp%\nsf3.tmp\ns1C1.tmp
• %User Temp%\nsf3.tmp\ns1E5.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://html.{BLOCKED}media-download.com/harvester.php?{random characters}
• http://html.{BLOCKED}media-download.com/installer/pop_request.php?{random characters}

このウイルス情報は、自動解析システムにより作成されました。