TROJ_DLOADER.DNO

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\winlogin.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
winlogin = "%User Temp%\winlogin.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Active Setup\Installed Components\05F16C88-71D3-42C1-BB4F-E9BAF7DB4A9E

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Active Setup\Installed Components\05F16C88-71D3-42C1-BB4F-E9BAF7DB4A9E
cfg = "{random}GRGRGRGR}{hostname} "

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}4qc2r4bn63.{BLOCKED}b.org:443
• https://{BLOCKED}4qc2r4bn63.{BLOCKED}b.org/gate.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\___{random}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com:443

マルウェアは、以下のWebサイトにアクセスし、証明書をダウンロードおよびインストールします。これにより、Tor2web proxy networkの不正なWebサイトにアクセス可能となります。

• http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
• http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
• http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/B1BC968BD4F49D622AA89A81F2150152A41D829C.crt

以下のレジストリキーが、証明書のインストール後に追加されます。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\B1BC968BD4F49D622AA89A81F2150152A41D829C

以下のレジストリ値が、証明書のインストール後に追加されます。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\B1BC968BD4F49D622AA89A81F2150152A41D829C
Blob = {hex value}

以下のファイルが、証明書のインストール後に追加されます。

• %Application Data%\Microsoft\Crypto\RSA\{User's Security Identifier}\{random 1} (Windows Vistaおよびそれ以上のバージョン) - 証明書のインストール
• %Application Data%\Microsoft\Crypto\RSA\{User's Security Identifier}\{random 2} (およびそれ以上のバージョン)
• %Application Data%\Microsoft\CryptnetUrlCache\Content\{random 3} (Windows Vista未満のバージョン)
• %Application Data%\Microsoft\CryptnetUrlCache\Content\{random 4} (Windows Vista未満のバージョン)

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。