TROJ_GERAL.BN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、作成したファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\kav.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\KAV

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
kav = "%System%\kav.exe"

マルウェアは、特定のアプリケーションの起動時に自身が自動実行されるよう、「Image File Execution Options」キーを用いて以下のレジストリキーおよびレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{application}
{application} = "svchost.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{application}

＜アプリケーション名＞には以下のいずれかが該当します。

• uDongFangYu.exe
• 360Safebox.exe
• 360SoftMgrSvc.exe
• 360delays.exe
• 360realpro.exe
• 360rp.exe
• 360safe.exe
• 360sd.exe
• 360tray.exe
• AgentSvr.exe
• CCenter.exe
• DSMain.exe
• DrUpdate.exe
• DrvAnti.exe
• FrameworkService.exe
• KABackReport.exe
• KISSvc.exe
• KPFW32.exe
• KPfwSvc.exe
• KSWebShield.exe
• KVSrvXP.exe
• KWatch.exe
• KavStart.exe
• LiveUpdate360.exe
• MPMon.exe
• MPSVC.exe
• MPSVC1.exe
• MPSVC2.exe
• McProxy.exe
• McTray.exe
• MpfSrv.exe
• QQDoctor.exe
• QQDoctorRtp.exe
• QQDrNetMon.exe
• Rav.exe
• RavMon.exe
• RavMonD.exe
• RavStub.exe
• RavTask.exe
• RegGuide.exe
• RsAgent.exe
• RsTray.exe
• SHSTAT.exe
• ScanFrm.exe
• Uplive.exe
• XsClient.exe
• alg.exe
• antiarp.exe
• avp.exe
• bdagent.exe
• ccEvtMgr.exe
• ccSetMgr.exe
• ccSvcHst.exe
• ccapp.exe
• defwatch.exe
• egui.exe
• ekrn.exe
• engineserver.exe
• kaccore.exe
• kmailmon.exe
• livesrv.exe
• mcagent.exe
• mcinsupd.exe
• mcmscsvc.exe
• mcnasvc.exe
• mcshell.exe
• mcshield.exe
• mcsysmon.exe
• mcupdmgr.exe
• mfeann.exe
• mfevtps.exe
• naPrdMgr.exe
• nbmanti.exe
• qutmserv.exe
• rfwsrv.exe
• rsnetsvr.exe
• rssafety.exe
• rtvscan.exe
• safeboxTray.exe
• udaterui.exe
• vptray.exe
• vsserv.exe
• vstskmgr.exe
• xcommsvr.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random}.exe
• %System%\jxgamepacik.pak
• %System%\drivers\TvPlus.sys

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、作成したファイルを実行します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}sdns.com:18184/c/d.txt
• http://{BLOCKED}sdns.com:18184/c/host.txt
• http://{BLOCKED}12tj.com:18888/57/tj.asp?mac={mac address}&ver={version}&os={OS}&dtime={date}