TROJ_FAKEAV.EFF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\msolrvxa.dll
• %System%\us?rinit.exe
• %User Temp%\{E9C1E0AC-C9B1-4c85-94DE-9C1518918D01}.tlb
• %User Temp%\{E9C1E0AC-C9B1-4c85-94DE-9C1518918D02}.tlb

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
DisplayName = "Antivirus 2010"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
Description = "AV software"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\userinit
ImagePath = "\.\globalroot\systemroot\system32\us?rinit.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}

HKEY_CLASSES_ROOT\Interface\{4701a7f6-ec89-1416-8e52-54d6be2a6600}

HKEY_CLASSES_ROOT\Interface\{5bc385dc-f6ca-e0d0-972a-cae9b4ff7f6a}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\Interface\{4701a7f6-ec89-1416-8e52-54d6be2a6600}
u = "131087"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiSpywareOverride = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
NoModify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
NoRepair = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
u = 2000f

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
t = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
a = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
DisplayName = "Antivirus 2010"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
Publisher = "WebTop Software Limited"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
UninstallString = "\.\globalroot\systemroot\system32\us?rinit.exe /uninstall"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{77EA27B9-7AC6-8BCD-78F3-E4A35FA8A712}
DisplayIcon = "\.\globalroot\systemroot\system32\us?rinit.exe"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\exefile\shell\
open\command
(Default) = ""exefile" /shell <%1> %*"

(註：変更前の上記レジストリ値は、「""%1" %*"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths
Directory = "%System%\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5"

(註：変更前の上記レジストリ値は、「"%User Profile%\Local Settings\Temporary Internet Files\Content.IE5"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path1
CachePath = "%System%\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Cache1"

(註：変更前の上記レジストリ値は、「"%User Profile%\Local Settings\Temporary Internet Files\Content.IE5\Cache1"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path2
CachePath = "%System%\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Cache2"

(註：変更前の上記レジストリ値は、「"%User Profile%\Local Settings\Temporary Internet Files\Content.IE5\Cache2"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path3
CachePath = "%System%\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Cache3"

(註：変更前の上記レジストリ値は、「"%User Profile%\Local Settings\Temporary Internet Files\Content.IE5\Cache3"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path4
CachePath = "%System%\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Cache4"

(註：変更前の上記レジストリ値は、「"%User Profile%\Local Settings\Temporary Internet Files\Content.IE5\Cache4"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = 4

(註：変更前の上記レジストリ値は、「2」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\exefile.exe - detected as TROJ_OLMARIK.EFF
• %System%\vbmace85.sys - detected as RTKT_OLMARIK.EFF

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)