TROJ_DLOADE.FGT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\52251eeec66da10c65004a80\52251eeec66da10c65004a80.exe
• %User Temp%\nsu3.tmp\52251eeec66da10c65004a80.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\nsu3.tmp
• %System Root%\Documents and Settings\Wilbert
• %User Profile%\Application Data\52251eeec66da10c65004a80
• %User Temp%\nsv15.tmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
52251eeec66da10c65004a80 = "{random characters}"

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %System%\WBEM\AutoRecover\88744D2A29102FC88ECF505DD2E984FC.mof

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のファイルを削除します。

• %User Temp%\nse1.tmp
• %User Temp%\nsu3.tmp
• %User Temp%\nsu3.tmp\ns10.tmp
• %User Temp%\nsu3.tmp\nsFD.tmp
• %User Temp%\nsu3.tmp\ns116.tmp
• %User Temp%\nsk13.tmp
• %User Temp%\nsv15.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Wbem\WMIC

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Wbem\WMIC

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "ffffffff"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
Cli.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mfl = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "49"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130311037042968750"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs = "{random characters}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130311037747187500"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130311037761875000"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\nsu3.tmp\IpConfig.dll
• %User Temp%\nsu3.tmp\System.dll
• %User Temp%\nsu3.tmp\inetc.dll
• %User Temp%\nsu3.tmp\tmp_13242.txt
• %User Temp%\nsu3.tmp\registry.dll
• %User Temp%\nsu3.tmp\nsExec.dll
• %User Temp%\nsv15.tmp\IpConfig.dll
• %User Temp%\nsv15.tmp\System.dll
• %User Temp%\nsv15.tmp\ThreadTimer.dll
• %User Temp%\nsv15.tmp\inetc.dll
• %User Temp%\nsv15.tmp\request.txt
• %User Temp%\tmp1C.tmp
• %User Temp%\tmp24.tmp
• %System%\WBEM\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
• %User Temp%\tmpD4.tmp
• %System%\WBEM\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
• TempWmicBatchFile.bat
• %User Temp%\nsu3.tmp\ns10.tmp
• %User Temp%\nsu3.tmp\nsFD.tmp
• %User Temp%\nsu3.tmp\ns116.tmp
• %User Temp%\nsu3.tmp\ns128.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://html.{BLOCKED}media-download.com/harvester.php?{random characters}
• http://html.{BLOCKED}media-download.com/installer/pop_request.php?{random characters}

このウイルス情報は、自動解析システムにより作成されました。