TROJ_DLOADR.AFG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\is799009782\2112242300.cfg
• %User Temp%\is799009782\662657193.cfg
• %User Temp%\is799009782\999723057.cfg
• %User Temp%\is799009782\{random numbers}_IronSourceCS.CIS

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\is799009782

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\AboutURLs
Tabs = "http://gg.blogpear.com/vscript/newTB.psc?&ub=_%7c0U0I0DzutDtDtD0CtBzyyCzztCyB0C0CtN0P1C0S1Czu0M0D0P0LtN0C0H0Nzu0S0R0C0Hzx0N1P2W0T0BtN0B0N0Dzu0B0B0N1VtCtAtDyDyEtN0C0Dzu0P0R0EtN0L0N0Tzu%7c_&cr=54398338"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Shar dAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and filename} = "{malware path and filename}:*:Enabled:Media Player"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Awsdata

ダウンロード活動

マルウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• http://{BLOCKED}d.{BLOCKED}ta.com/Bund/AInstaller.CIS
• http://{BLOCKED}d.{BLOCKED}a.com/Prod/vlc-8.0.5.CIS
• http://{BLOCKED}v.{BLOCKED}er.org/vscript/utils/IP2CC.psc
• http://{BLOCKED}d.{BLOCKED}a.com/Bund/Babylon/Babylon8_sq_14542.cis