TROJ_FRAUD.AL

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、実行後、自身を削除します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{Random Folder 1}\{Random Filename}.exe
• %System%\CbEvtSvc.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\{Random Folder 2}\{Random Filename 2}.dic

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• explorer.exe
• rdpclip.exe
• ctfmon.exe
• wscntfy.exe
• taskeng.exe
• taskhost.exe
• dwm.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{6D28A461-0014-C635-1588-762C8F7E3B1C} = {Malware Path and File Name}.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\CbEvtSvc
DisplayName =

(註：変更前の上記レジストリ値は、「 」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\CbEvtSvc
ImagePath = "%System%\CbEvtSvc.exe -k netsvcs"

(註：変更前の上記レジストリ値は、「 」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services
CbEvtSvc =

(註：変更前の上記レジストリ値は、「 」となります。)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = 0

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{Random Key}

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www.{BLOCKED}ol.com/ccnr.exe
• http://www.{BLOCKED}ol.com/putmuk24111.exe
• http://www.{BLOCKED}ol.com/ruiosd221212.exe

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。