TROJ_FAKEAV.MT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\{random folder name}\{random file name}.exe

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\{random folder name}\{random file name}.ico
• %Desktop%\System Care Antivirus.lnk
• %Start Menu%\Programs\System Care Antivirus\System Care Antivirus.lnk

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

マルウェアは、以下のフォルダを作成します。

• %Start Menu%\Programs\System Care Antivirus
• %All Users Profile%\Application Data\{random folder name}

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random file name} = "%All Users Profile%\Application Data\{random folder name}\{random file name}.exe"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}resoft.com/?
• http://{BLOCKED}.174.45/payform2/?
• http://{BLOCKED}.28.241/plugins.php?ts=b19355e7e92e2ae9366ab7d8da1b352dc7fc1937&affid=03600
• http://{BLOCKED}.29.179/?ts=b19355e7e92e2ae9366ab7d8da1b352dc7fc1937&token=afFfay1&affid=03600&ver=3070033&group=sca