TROJ_FAKEAV.XN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Start Menu%\Antivirus 2009

(註： %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer
UserSession = "396EFC54E3C9F91A36F7768BEAEFE7BA"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
AdvancedScanType = "1"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
FirstRunUrl = "{random characters}"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
AfterRegisterUrl = "{random characters}"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
TermsUrl = "http://{BLOCKED}sarium.com/terms.php"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
HelpURL = "http://{BLOCKED}sarium.com/help.php"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
BillingURL = "http://{BLOCKED}sarium.com/license.php?Email=%email%&AffiliateID=%aff%"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
TransactionKey = "XsHrUGEutblgVFNM"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
BillingRegURL = "http://{BLOCKED}sarium.com/order_xp.php?ver=%aff%"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
LastRun = "10/11/2012"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
InstallDate = "10/11/2012"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
pPath = "{malware path and file name}"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
pName = "Antivirus 2009"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
SecurityVector = "000000000000000000000000000000000000000000"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
Scans = "1"

HKEY_CURRENT_USER\Software\396EFC54E3C9F91A36F7768BEAEFE7BA\
Options
LastScan = "11.10.2012 23:10:41"

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\OneMoreKey

HKEY_CURRENT_USER\Software\XP Antivirus

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\scui.cpl
• %User Profile%\Quick Launch\Antivirus 2009.lnk
• %Desktop%\Antivirus 2009.lnk
• %Start Menu%\Antivirus 2009\Antivirus 2009.lnk
• %Start Menu%\Antivirus 2009\Uninstall Antivirus 2009.lnk
• %System%\ieupdates.exe.tmp

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。. %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}sarium.com/firstrun.php?{random characters}
• http://{BLOCKED}downloadcenter.com/zsa09/zs880000.exe

このウイルス情報は、自動解析システムにより作成されました。