TROJ_INJECTOR.VI

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、無料キャンペーンの招待状を装った英文のスパムメールとしてコンピュータに侵入します。この偽の招待状は、マクドナルドからのメールのように装います。スパムメールは、添付のファイル（拡張子ZIP）中にある招待状を印刷するようにユーザに促します。ユーザが、この招待状と称するファイルを開くと、マルウェアがコンピュータにインストールされます。

マルウェアは、モジュールをダウンロードします。マルウェアは、実行されると、特定のサーバに接続します。

サーバは、感染コンピュータ上でどのような不正活動（ダウンロード活動）を行うかを返答します。情報公開日現在、マルウェアは、「TSPY_KARAGNY.VI」および「TROJ_CTGOG.VI」をダウンロードします。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\dxdiag.exe

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• svchost.exe

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}dexchange2011.ru

マルウェアは、モジュールをダウンロードします。マルウェアは、実行されると、自身がコンピュータにインストールされたことを以下のサーバに通知します。

• http://{BLOCKED}dexchange2011.ru/forum/task.php?bid={value}&os={value}&uptime={value}&rnd={value}

サーバは、感染コンピュータ上でどのような不正活動（ダウンロード活動）を行うかを返答します。情報公開日現在、マルウェアは、サーバからの指示により、以下のマルウェアをダウンロードします。

• http://{BLOCKED}.61.25/forum/load.php?module=grabbers - 「TSPY_KARAGNY.VI」として検出
• http://{BLOCKED}dexchange2011.ru/abs.exe - 「TROJ_CTGOG.VI」として検出

マルウェアは、ダウンロードしたファイルを実行します。