TROJ_GERAL.AB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\scvhost.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
RsTray = "%System%\scvhost.exe"

マルウェアは、特定のアプリケーションの起動時に自身が自動実行されるよう、「Image File Execution Options」キーを用いて以下のレジストリキーおよびレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{application}
{application} = "svchost.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{application}

＜アプリケーション名＞には以下のいずれかが該当します。

• 360Safebox.exe
• 360tray.exe
• AgentSvr.exe
• CCenter.exe
• DrUpdate.exe
• FrameworkService.exe
• KISSvc.exe
• KPFW32.exe
• KPfwSvc.exe
• KVSrvXP.exe
• KWatch.exe
• KavStart.exe
• MPMon.exe
• MPSVC.exe
• MPSVC1.exe
• MPSVC2.exe
• McProxy.exe
• McTray.exe
• MpfSrv.exe
• QQDoctor.exe
• QQDoctorRtp.exe
• Rav.exe
• RavMon.exe
• RavMonD.exe
• RavStub.exe
• RavTask.exe
• RegGuide.exe
• RsAgent.exe
• RsTray.exe
• SHSTAT.exe
• ScanFrm.exe
• Uplive.exe
• antiarp.exe
• avp.exe
• bdagent.exe
• ccEvtMgr.exe
• ccSetMgr.exe
• ccSvcHst.exe
• ccapp.exe
• defwatch.exe
• egui.exe
• ekrn.exe
• engineserver.exe
• kmailmon.exe
• livesrv.exe
• mcagent.exe
• mcinsupd.exe
• mcmscsvc.exe
• mcnasvc.exe
• mcshell.exe
• mcshield.exe
• mcsysmon.exe
• mcupdmgr.exe
• mfeann.exe
• mfevtps.exe
• naPrdMgr.exe
• rfwsrv.exe
• rsnetsvr.exe
• rtvscan.exe
• safeboxTray.exe
• udaterui.exe
• vptray.exe
• vsserv.exe
• vstskmgr.exe
• xcommsvr.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\{random}text.exe
• %System%\drivers\pcidump.sys

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、作成されたファイルを実行します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}2432.cn/0001/Count.asp?mac={mac address}&ver={version}&os={OS}
• http://{BLOCKED}/0001/ttnew.txt