TROJ_FAKEAV.KPP

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、「Registry Shell Spawning」という手法で特定のレジストリキーまたはレジストリ値を変更します。これにより、他のアプリケーションが実行されると、このマルウェアも自動実行されます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• C:\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe

自動実行方法

マルウェアは、「Registry Shell Spawning」という手法で以下のレジストリキーまたはレジストリ値を変更します。これにより、特定のファイル形式のファイルが開かれると、このマルウェアも自動実行されます。

HKEY_CLASSES_ROOT\.exe
(Default) = "{first 5 characters of malware filename}"

(註：変更前の上記レジストリ値は、「exefile」となります。)

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}
(Default) = "Application"

HKEY_CLASSES_ROOT\%s
(Default) = "{first 5 characters of malware filename}"

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}
Content Type = "application/x-msdownload"

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
runas\command
(Default) = "C:\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe" -s "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open\command
(Default) = "C:\Documents and Settings\All Users\Application Data\{random hex string}\{random hex string}.exe" -s "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start\command
(Default) = "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
runas\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start\command
IsolatedCommand = "%1" %*

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_CLASSES_ROOT\%s

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\DefaultIcon

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\DefaultIcon
(Default) = "%1"

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
open\command

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
runas

HKEY_CLASSES_ROOT\{random value}\shell\
runas\command

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start

HKEY_CLASSES_ROOT\{first 5 characters of malware filename}\shell\
start\command

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\svc