TROJ_DROPPER.ZKH

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %System Root%\users\public\Public Document
• %All Users Profile%\Msn
• %All Users Profile%\Msn\Msn2

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のファイルを作成します。

• %System Root%\users\public\Public Document\aatd.bat
• %System Root%\users\public\Public Document\bms.klm
• %System Root%\users\public\Public Document\cond.reg
• %System Root%\users\public\Public Document\dd.vbs
• %System Root%\users\public\Public Document\icd.bat
• %System Root%\users\public\Public Document\ictd.bat
• %System Root%\users\public\Public Document\ied.bat
• %System Root%\users\public\Public Document\iewed.bat
• %System Root%\users\public\Public Document\image.exe
• %System Root%\users\public\Public Document\keeprun.ini
• %System Root%\users\public\Public Document\msnd.exe
• %System Root%\users\public\Public Document\picture viewer.exe
• %System Root%\users\public\Public Document\PIC_{year}{random string}_ _{random value} .{random number 1}
• %System Root%\users\public\Public Document\PIC_{year}{random string}_ _{random value} .{random number 2}
• %System Root%\users\public\Public Document\pid.PDF
• %System Root%\users\public\Public Document\sad.vbs
• %All Users Profile%\Msn\Msn2\aatd.bat
• %All Users Profile%\Msn\Msn2\bms.klm
• %All Users Profile%\Msn\Msn2\cond.reg
• %All Users Profile%\Msn\Msn2\dd.vbs
• %All Users Profile%\Msn\Msn2\icd.bat
• %All Users Profile%\Msn\Msn2\ictd.bat
• %All Users Profile%\Msn\Msn2\ied.bat
• %All Users Profile%\Msn\Msn2\iewed.bat
• %All Users Profile%\Msn\Msn2\image.exe
• %All Users Profile%\Msn\Msn2\keeprun.ini
• %All Users Profile%\Msn\Msn2\msnd.exe
• %All Users Profile%\Msn\Msn2\picture viewer.exe
• %All Users Profile%\Msn\Msn2\pid.PDF
• %All Users Profile%\Msn\Msn2\sad.vbs

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
stat = "%All Users Profile%\Msn\Msn2\aatd.bat"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
stat2 = "%All Users Profile%\Msn\Msn2\aatd.bat"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• ftp.{BLOCKED}stia.com