TROJ_INJECT.CPX

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_PIDIEF.KGM

インストール

マルウェアは、以下のフォルダを作成します。

• {Malware Path}\{random}
• %User Temp%\Low

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• JKDFHIUEJDH
• HDIWJDGHWJK

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}loner.es/index.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\Low\cr{random}.tmp - renamed to {Malware Path}\lbarhelp32.dll
• %User Temp%\Low\ia{random}.tmp - renamed to {Malware Path}\lbarext32.dll

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のアプリケーションにファイルが組み込まれているか確認します。

• chrome.exe
• facebookmessenger.exe
• firefox.exe
• icq.exe
• iexplore.exe
• jucheck.exe
• jusched.exe
• miranda32.exe
• msmsgs.exe
• msnmsgr.exe
• opera.exe
• outlook.exe
• pidgin.exe
• skype.exe
• thunderbird.exe
• winmail.exe
• yahoomessenger.exe
• yahoom~1.exe

マルウェアがダウンロードし、"%User Temp%\Low\cr＜ランダム＞.tmp" として保存されるファイルは、以下のファイル名へ変更されます。

• ＜マルウェアのパス名＞\lbarhelp32.dll

マルウェアがダウンロードし、"%User Temp%\Low\ia＜ランダム＞.tmp" として保存されるファイルは、以下のファイル名へ変更されます。

• ＜マルウェアのパス名＞\lbarext32.dll