TROJ_FAKEAV.JA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random name}.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{malware filename}\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{random name}\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{malware filename}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\{random name}

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.156.53/payform/?k=N0VXUURTHUIJUhZDVQVGFFZcQFtVdWNodGNhcEBGUV1FVgQTTVFcRwEHQhAHUEFR
• http://{BLOCKED}.{BLOCKED}.156.53/payform/?k=N1NWTV9AHVcfUwpYRgVTAldAW0hVY2J0b3BhZVVQUEFeRQQGW1BAXBIHVwYGTFpC
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/30day.jpg
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/bg.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/box.jpg
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/cards.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/checked.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/corners_bot_l.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/corners_bot_r.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/corners_top_l.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/corners_top_r.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/cvv_back.png
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/page_progressbar.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/sm_er.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/submit.png
• http://{BLOCKED}.{BLOCKED}.156.53/payform/img/win/unchecked.gif
• http://{BLOCKED}.{BLOCKED}.156.53/payform/js/jquery.js
• http://{BLOCKED}.{BLOCKED}.156.53/payform/js/payform3.js
• http://{BLOCKED}.{BLOCKED}.156.53/payform/style/reset-min.css
• http://{BLOCKED}.{BLOCKED}.156.53/payform/style/style.css
• http://{BLOCKED}.{BLOCKED}.156.76/cb_soft.php?q=NlpDTFtXHlgLRBVRHFoJRRVVX19GTVMZU1dHC1paUhRqd3VrZ2JAQw9RA19DQVNTUllFQFpSBwlPR19UAAxFEA9fV1gJRQ%3D%3D