TROJ_INJECT.YYRC

2014年10月24日

別名:

Trojan.Klovbot (Symantec); Trojan horse Autoit_c.BFCC (AVG)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

詳細

ファイルサイズ 444,416 bytes

タイプ EXE

メモリ常駐なし

発見日 2014年10月24日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%Windows%\www

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
HKLMl = "%Windows%\www\dwml.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
HKCUl = "%Windows%\www\dwml.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{Q5T138J4-6TIK-MSK2-00ND-65266T36TQ06}
StubPath = "%Windows%\www\dwml.exe Restart"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{Q5T138J4-6TIK-MSK2-00ND-65266T36TQ06}
StubPath = "%Windows%\www\dwml.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\
Active Setup\Installed Components\{Q5T138J4-6TIK-MSK2-00ND-65266T36TQ06}

HKEY_CURRENT_USER\SOFTWARE\$$$$$$$$

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Policies = "%Windows%\www\dwml.exe"

HKEY_CURRENT_USER\Software\$$$$$$$$
FirstExecution = "02/10/2014 -- 11:52"

HKEY_CURRENT_USER\Software\$$$$$$$$
NewIdentification = "\$$$$$$$$"

HKEY_CURRENT_USER\Software\$$$$$$$$
NewGroup = [REG_EXPAND_SZ, value: ]

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"