TROJ_FAKEAV.BAF

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。 マルウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。

インストール

マルウェアは、以下のファイルを作成します。

• 
  HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Explorer\Browser Helper Objects\{D032570A-5F63-4812-A094-87D007C23012}\
  
  
  
• • %Start Menu%\Programs\SYSTEM SECURITY\SYSTEM SECURITY 2009.LNK
  • %Start Menu%\Programs\SYSTEM SECURITY\SYSTEM SECURITY 2009 SUPPORT.LNK
  • %User Temp%2956109.cmd
  • %Desktop%\SYSTEM SECURITY 2009.LNK

　（註： %Desktop%フォルダは、Windows 98 および MEの場合、通常 ""C:\Windows\Profiles\＜ユーザ名＞\デスクトップ"" です。 Windows NTの場合、""C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ""、Windows 2000、XP、Server 2003の場合は ""C:\Documents and Settings\＜ユーザ名＞\デスクトップ"" です。） )

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• 
  HKEY_CLASSES_ROOT\CLSID\{D032570A-5F63-4812-A094-87D007C23012}
  (Default)=
  
  HKEY_CLASSES_ROOT\CLSID\{D032570A-5F63-4812-A094-87D007C23012}\InprocServer32
  (Default)={malware path and filename}
  
  HKEY_CLASSES_ROOT\CLSID\{D032570A-5F63-4812-A094-87D007C23012}\InprocServer32
  ThreadingModel=Apartment
  
  HKEY_CLASSES_ROOT0486ba1-ac77-4a17-bbae-96945b9473b1.TIEAdvBHO
  (Default)=
  
  HKEY_CLASSES_ROOT0486ba1-ac77-4a17-bbae-96945b9473b1.TIEAdvBHO\CLSID
  (Default)={D032570A-5F63-4812-A094-87D007C23012}
  
  HKEY_CLASSES_ROOT\CLSID\{D032570A-5F63-4812-A094-87D007C23012}\ProgID
  (Default)=00486ba1-ac77-4a17-bbae-96945b9473b1.TIEAdvBHO
  
  HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Explorer\Browser Helper Objects\{D032570A-5F63-4812-A094-87D007C23012}
  (Default)=
  
  
• • {BLOCKED}
  • {BLOCKED}
  • {BLOCKED}

マルウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• • C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA29498122949812.exe
  • %User Temp%\sseFEFB.tmp

（註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。）