TROJ_FAKEAV.SMHB

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_BREDO.NEW

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}.exe

マルウェアは、以下の無害なファイルを作成します。

• C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}

マルウェアは、以下のフォルダを作成します。

• C:\Documents and Settings\All Users\Application Data\{random folder name}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random file name} = C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}.exe

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• http://{BLOCKED}2.{BLOCKED}2.67.200/api/urls/?affid=11000
• http://{BLOCKED}2.{BLOCKED}2.67.200/api/stats/install/1004/11000

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}2.{BLOCKED}4.4.134/{random}.exe?affid=11000 - detected as TROJ_FAKESYS.HBB

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

マルウェアは、以下を除く実行ファイルの実行を妨げます。

マルウェアは、以下のGraphical User Interface（GUI）を表示します。

ユーザが、提示された脅威を取り除くことに同意するボタンをクリックすると、以下が表示されます。

ユーザが、セキュリティソフトの起動に同意すると、以下が表示されます。

そしてユーザは、以下の情報を収集されることとなります。

• クレジットカードに関する情報（カードタイプ、クレジットカードの番号、有効期限、名前）
• 連絡先に関する情報（Eメールアドレス、ユーザの所在国、住所、電話番号）

収集された情報は、以下のWebサイトに送信されます。

• {BLOCKED}e.{BLOCKED}stpayplus.com