TROJ_DROPPER.HLA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\ADMINI~1
• %User Profile%\LOCALS~1
• %User Temp%\nsb2.tmp
• %User Temp%\nsk5.tmp
• %Windows%\Rose
• %User Temp%\nsm7.tmp
• %User Temp%\nsqA.tmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

マルウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\nsb1.tmp
• %User Temp%\nsb2.tmp
• %User Temp%\nsu3.tmp
• %User Temp%\nsk5.tmp
• %User Temp%\nsm6.tmp
• %User Temp%\nsm7.tmp
• %User Temp%\nsa8.tmp
• %User Temp%\nsqA.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
IDSCNP

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{385AB8C5-FB22-4D17-8834-064E2BA0A6F0}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{385AB8C5-FB22-4D17-8834-064E2BA0A6F0}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{385AB8C5-FB22-4D17-8834-064E2BA0A6F0}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{385AB8C5-FB22-4D17-8834-064E2BA0A6F0}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{385AB8C5-FB22-4D17-8834-064E2BA0A6F0}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{385AB8C5-FB22-4D17-8834-064E2BA0A6F0}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{385AB8C4-FB22-4D17-8834-064E2BA0A6F0}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{385AB8C4-FB22-4D17-8834-064E2BA0A6F0}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{385AB8C4-FB22-4D17-8834-064E2BA0A6F0}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{385AB8C4-FB22-4D17-8834-064E2BA0A6F0}\TypeLib

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
IDSCNP
p = "1ea3"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{285AB8C6-FB22-4D17-8834-064E2BA0A6F0}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{385AB8C4-FB22-4D17-8834-064E2BA0A6F0}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
IDSCNP
p = "1f11"

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\kill.bat
• %User Temp%\nsb2.tmp\System.dll
• %User Temp%\165.exe
• %User Temp%\nsu4.tmp
• %User Temp%\nsk5.tmp\System.dll
• %Windows%\Rose\pbhealth.dll
• %User Temp%\nsm7.tmp\System.dll
• %User Temp%\76.exe
• %User Temp%\nsq9.tmp
• %User Temp%\nsqA.tmp\System.dll

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

このウイルス情報は、自動解析システムにより作成されました。