TROJ_DLOADER.SBF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {All Users' My Pictures folder}\AcroRd32Info.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AccroRd32info = "{All Users' My Pictures folder}\AcroRd32Info.exe"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}ion-sas.com/red/image/index.php
• http://www.{BLOCKED}ion-sas.com/red/image/index.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\Perdata{random number}.dat - deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアがダウンロードする以下のファイルは、後に削除されます。

• %User Temp%\Perdata{random number}.dat

マルウェアは、‘Perdata{random number}.dat’のコンテンツの復号のプロセスの一部としてこのファイルを作成します。このファイルは、後に削除されます。

• %User Temp%\Perdata{random number}.b6

マルウェアは、以下の以下の最終出力ファイルを作成します。

• %User Temp%\Perdata{random number}.exe

マルウェアは、コード内のヘッダによりファイルタイプが実行形式と確認された場合、このファイルを実行します。

情報公開日現在、マルウェアがアクセスする上述のWebサイトは、現在の曜日および日時を表示するのみです。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。