TROJ_DNSCHANGE.G

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\spool\driver\PMTP_TEMP_CONFIG.INI

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\spool\drivers\PTMP.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ImagePath = %System%\spool\drivers\PTMP.exe /Start

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
DisplayName = PTMPService

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Description = This Service analysis Port Map name. If this service was stopped, the computer will not be able to resolve PTMP name and location Active Directory domain controller. If this service is disabled, any clear rely on its services will not be able to start.

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService_Temp

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Service = PTMPService

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Programe = PTMP.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Description = This Service analysis Port Map name. If this service was stopped, the computer will not be able to resolve PTMP name and location Active Directory domain controller. If this service is disabled, any clear rely on its services will not be able to start.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
ClientID = Ours

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
FirstServer = http://www.highest-developments.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
SecondServer = http://www.moderinnovation.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
ThirdServer = http://www.spf-domainkey.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Disallow = bl.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
DomainVer = du.txt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
DomainList = dd.txt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
IISPort = {new IIS Port number}

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
BW-PTMP = %System%\spool\drivers\PTMP.exe:*:enabled:Explorer

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
BW-PTMP = %System%\spool\drivers\PTMP.exe:*:enabled:Explorer

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• http://www.{BLOCKED}t-developments.com/ptmp2.php
• http://www.{BLOCKED}nnovation.com/ptmp2.php
• http://www.{BLOCKED}mainkey.com/ptmp2.php