TROJ_FAKEAV.KTD

マルウェアは、Internet Explorer（IE）のセキュリティ設定を変更します。これにより、マルウェアは、悪意のあるWebサイトへのアクセスが可能になり、感染コンピュータはさらなる脅威にさらされることとなります。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\AnVi\avt.exe

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\4otjesjty.mof

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\AnVi

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Antivirus = "%Program Files%\AnVi\avt.exe" -noscan

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\AnVi
=

(註：変更前の上記レジストリ値は、「 」となります。)

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Use FormSuggest = Yes

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\avt.dat
• %User Temp%\avtr.dat

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• It displays fake alerts that warn users of infection. It also displays fake scanning results of the affected system. It then asks for users to purchase it once scanning is completed. If users decide to purchase the rogue product, users are directed to a certain Web site asking for sensitive information, such as credit card numbers.

マルウェアは、以下のWebサイトにアクセスして不正なファイルをダウンロードします。

• http://{BLOCKED}eager.com/avt/avt_db
• http://{BLOCKED}eager.com/avt/avt.dat
• http://{BLOCKED}eager.com/avt/avtr.dat
• http://{BLOCKED}eager.com/customers/getbuild.php
• http://{BLOCKED}eager.com/avt/avt_db