TROJ_JOKBOT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\Wilbert
• %User Profile%\Joker
• %Windows%\ufr_reports
• %User Profile%\ncftp
• tasks

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
JokerLoader = "%User Profile%\Joker\JokerLoader.js"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Win32 = "%Windows%\Win32.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Profile%\Joker\MASTER~2.BAT

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\WinRAR SFX

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR SFX
C%%Documents and Settings%Wilbert%Joker = "%User Profile%\Joker"

作成活動

マルウェアは、以下のファイルを作成します。

• __tmp_rar_sfx_access_check_109203
• cap.exe
• Joker.bat
• JokerLoader.js
• ncftpget.exe
• ncftpput.exe
• sleep.bat
• START.bat
• tree2.js
• Win32.exe
• 7dnn1qlnu_g.jpg
• arj.exe
• ????? - Dirty Easter.mp3
• %User Temp%\report_29-05-2014_01-06-21-378B588773AE0F47A179D404EDB071D6-NKFK.bin
• digit.dat
• taskdone.dat
• botname.dat
• %User Profile%\ncftp\firewall.txt
• 7033.bot
• mastertask.bat
• temp_7157.ans
• temp_ans_list.txt
• mastertask.arj
• %Windows%\Win32.exe
• \Win32.exe
• %Windows%\ufr_reports\NO_PWDS_report_29-05-2014_01-06-21-378B588773AE0F47A179D404EDB071D6-NKFK.bin
• mastertask_7078.bat

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://whatismyip.{BLOCKED}i.com
• {BLOCKED}.16.37
• {BLOCKED}.8.248
• {BLOCKED}0.1

このウイルス情報は、自動解析システムにより作成されました。