TROJ_FAKEAV.DFR

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、作成したファイルを実行します。

マルウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。 マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_CRYPTIC.BK

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\dfrgsnapnt.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dfrgsnapnt.exe = "%User Temp%\dfrgsnapnt.exe"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\wscsvc32.exe - detected as TROJ_FAKEAV.SMEV

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、作成したファイルを実行します。

ダウンロード活動

マルウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• http://{BLOCKED}ulltro.com/any3/5-direct.ex

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• TROJ_FAKEAV.SMEY

マルウェアは、ダウンロードしたファイルを実行します。