TROJ_HILOTI.JZ

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{random}.dll

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 8f347b5f
• dd250d3b
• {random}

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "rundll32.exe {malware path and filename},Startup"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\{random}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

その他

マルウェアは、実行されると、フォルダ "%Windows%" 内にDLLに変換された自身のコピーを作成します。マルウェアは、作成したコピーの名前にランダムなファイル名を使用します。そして、マルウェアは、このDLLファイルの日時を以下のファイルと類似した日時に設定します。

• user32.dll

マルウェアは、以下のコマンドを用いて自身のコピーを実行します。

• rundll32 ＜DLLに変換されたコピー＞,Startup

また、マルウェアは、以下のWebサイトにアクセスし、自身のコピーの更新版ファイルまたは他のマルウェアをダウンロードする機能を備えています。

• ＜日付-時間＞.＜省略＞zy.net/get2.php

ダウンロードされたファイルは、以下のように保存されます。実行されると、このファイルの不正活動が感染コンピュータ上で展開されることとなります。

• %Windows%\{random}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、脆弱性を利用した感染活動を行いません。