TROJ_GODEFWIN.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Windows%\rss

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、以下のサービスを追加し、実行します。

• WinDefender

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
ServiceVersion = "0.5"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}pdata.johnywalkerup.com/app.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Windows%\rss\crss.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは以下を実行します。

• 作成したサービスのアクセス許可を設定するために、以下のコマンドを実行します。
  • sc sdset WinDefender D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPLOCRSDRCWDWO;;;BA)(D;;WPDT;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
• 実行が成功するには、レジストリキー "HKEY_CURRENT_USER\Software\Microsoft\TestApp" が必要となります。
• 最初のファイル名とファイルパスが%Windows%\windefender.exeでない場合、マルウェアは以下のファイルパスに自身をコピーして実行します。
  • %Windows%\windefender.exe

（註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。）