TROJ_KILSRV.EUIQ

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• {BLOCKED}.{BLOCKED}.196.130

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\gb_service.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下の無害なファイルを作成します。

• %System%\GB_CATCHME.EXE - a copy of GMER Catchme tool

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AGBR5
ImagePath = "%System%\gb_service.exe"

その他

マルウェアは、感染コンピュータから「GbPlugin」と呼ばれるソフトウェアをアンインストールします。このソフトウェアは、ブラジル銀行のオンラインバンクで取引を行う場合に、ユーザを保護するソフトウェアです。マルウェアは、「GMER」が提供する「Catchme」と呼ばれる以下のソフトウェアを利用して、上述の不正活動を行います。この不正活動により、コンピュータから「GbPlugin」に関連するファイルとレジストリが削除されます。感染したユーザは、ブラジル銀行を標的にした銀行を狙うマルウェアに感染したままとなります。

• %System%\GB_CATCHME.EXE

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。)