TROJ_FAKEAV.KQWL

マルウェアは、複数の企業名を利用し、正規のウイルス対策製品を装います。他の FAKEAV亜種と同様に、このマルウェアは、複数のGraphical User Interface（GUI）を表示し、コンピュータがマルウェアに感染したとユーザに思い込ませ、偽の製品の購入を促します。

ユーザが偽の製品の購入しようとすると、ユーザをWebサイトにリダイレクトしてクレジットカード番号といった個人情報を要求します。

偽のオンラインウイルス対策製品による偽のスキャン結果を表示し、この偽製品のインストールを促します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。 マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\skahgfhasd.bat - file used to delete itself

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\hotfix.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "%User Profile%\Application Data\hotfix.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\PID

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ACDaemon.exe
• ACService.exe
• AcroRd32.exe
• Acrobat.exe
• Acrobat_sl.exe
• Acrotray.exe
• Adobe Media Player.exe
• AdobeARM.exe
• AdobeUpdater.exe
• Adobe_Updater.exe
• AppleMobileDeviceHelper.exe
• AppleMobileDeviceService.exe
• ApplicationUpdater.exe
• BDTUpdateService.exe
• BJMyPrt.exe
• Babylon.exe
• BabylonAgent.exe
• Bandoo.exe
• BandooUI.exe
• BcmSqlStartupSvc.exe
• CEC_MAIN.exe
• CLCapSvc.exe
• CLMLSvc.exe
• CLMSServer.exe
• CLSched.exe
• COCIManager.exe
• CSmileysIM.exe
• CTsvcCDA.exe
• DVDAgent.exe
• DVDLauncher.exe
• DellVideoChat.exe
• DesktopWeather.exe
• DivXUpdate.exe
• EasyShare.exe
• FlashUtil10a.exe
• FlashUtil10b.exe
• FlashUtil10c.exe
• FlashUtil10d.exe
• FlashUtil10e.exe
• FlashUtil10h_ActiveX.exe
• FlashUtil10i_ActiveX.exe
• FrostWire.exe
• GoogleDesktop.exe
• GoogleDesktopCrawl.exe
• GoogleDesktopDisplay.exe
• GoogleDesktopIndex.exe
• GoogleToolbarInstaller_updater_signed.exe
• GoogleToolbarUser.exe
• GoogleUpdater.exe
• ICQ Service.exe
• IELowutil.exe
• IEMonitor.exe
• IEUser.exe
• KodakSvc.exe
• LWS.exe
• LimeWire.exe
• LogitechDesktopMessenger.exe
• LogitechUpdate.exe
• MSCamS32.exe
• Monitor.exe
• MySpaceIM.exe
• NBService.exe
• NMBgMonitor.exe
• NMIndexStoreSvr.exe
• NMIndexingService.exe
• NkMonitor.exe
• PCMAgent.exe
• PDVDDXSrv.exe
• PDVDServ.exe
• PMVService.exe
• PhotoshopElementsFileAgent.exe
• PictureMover.exe
• Quickcam.exe
• Reader_sl.exe
• RealPlay.exe
• RichVideo.exe
• RoxWatch9.exe
• SeaPort.exe
• SearchProtection.exe
• SiteRankTray.exe
• Skype.exe
• SkypeNames.exe
• SkypeNames2.exe
• SmoothView.exe
• SoftwareUpdate.exe
• SweetIM.exe
• TNaviSrv.exe
• TVAgent.exe
• TWebCamera.exe
• TWebCameraSrv.exe
• TomTomHOMERunner.exe
• TomTomHOMEService.exe
• ULCDRSvr.exe
• ViewMgr.exe
• WLIDSvcM.exe
• Weather.exe
• WebcamDell.exe
• WerCon.exe
• YMailAdvisor.exe
• YahooAUService.exe
• YahooMessenger.exe
• YouCam.exe
• ZuneLauncher.exe
• aim.exe
• aim6.exe
• apdproxy.exe
• bittorrent.exe
• chrome.exe
• cmd.exe
• ehRecvr.exe
• ehmsas.exe
• ezprint.exe
• firefox.exe
• gamevance32.exe
• iPodService.exe
• iTunes.exe
• iTunesHelper.exe
• iWinTrusted.exe
• iexplore.exe
• iviRegMgr.exe
• java.exe
• javaw.exe
• lexbces.exe
• mcrdsvc.exe
• msmsgs.exe
• msn.exe
• msnmsgr.exe
• onenotem.exe
• ooVoo.exe
• opera.exe
• outlook.exe
• pctsAuxs.exe
• pctsSvc.exe
• plugin-container.exe
• prismxl.sys
• qttask.exe
• realsched.exe
• regedit.exe
• rstrui.exe
• safari.exe
• shellmon.exe
• skypePM.exe
• sprtsvc.exe
• taskmgr.exe
• tfswctrl.exe
• traybar.exe
• uTorrent.exe
• update.exe
• winamp.exe
• winampa.exe
• winword.exe
• wlcomm.exe
• wlidsvc.exe
• wmplayer.exe
• wzqkpick.exe
• ymsgr_tray.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http:\\{BLOCKED}.{BLOCKED}.191.174\wrwer.exe

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.191.174
• {BLOCKED}.{BLOCKED}.191.180

ただし、情報公開日現在、このWebサイトにはアクセスできません。

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、以下の偽の警告を表示します。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品の購入しようとすると、ユーザを以下のWebサイトにリダイレクトしてクレジットカード番号といった個人情報を要求します。

• {BLOCKED}.{BLOCKED}.191.180

マルウェアは、以下のレジストリにインストールに関する情報を保存します。

HKEY_CURRENT_USER\Software\PID
install = "complete"

HKEY_CURRENT_USER\Software\PID
product = "{GUI name}"

偽のオンラインウイルス対策製品による以下の偽のスキャン結果を表示し、この偽製品のインストールを促します。

マルウェアは、以下のいずれかのGUIを利用します。