TROJ_KILIM.EFKW

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのマルウェアが削除されるのを避けます。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Chromium.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\wget.exe <-- this file is used to download arsiv.exe and is deleted after download

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Google Chromium = "%Application Data%\Chromium.exe"

他のシステム変更

マルウェアは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Google\Update
UpdateDefault = "0" <-- this registry entry disables automatic google update

マルウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
System
EnableLUA = "0" <-- this registry entry disables user notification when programs try to install software or make changes to the computer

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}r.com/ahk/req.php?type=arsiv_link
• http://{BLOCKED}r.com/ahk/ok.txt
• http://{BLOCKED}r.com/ahk/req.php?type=update_hash
• http://{BLOCKED}r.com/ahk/req.php?type=js
• http://filmver.com/ahk/req.php?type=key
• http://filmver.com/ahk/req.php?type=arsiv_hash

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\arsiv.exe <-- this file is the installer of the Chrome version the malware needs to install
• %Application Data%\update.txt
• %Application Data%\bg.txt <-- this file contains script for chrome browser extension
• %Application Data%\hash.txt <-- this file contains the hash of the original executable file of chrome
• %Application Data%\ok.txt <-- this file indicates if server it connects to is still up

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

HOSTSファイルの改変

マルウェアは、ユーザが以下のWebサイトにアクセスできないように、システムのHOSTSファイルを改変します。

• tools.google.com
• clients4.google.com

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com