TROJ_KOVTER.AUSJK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\{random string}\{random string}.{random extension} - Encrypted file
• %AppDataLocal%\{random string}\{random}.bat - Starts Encrypted file

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\regsvr32.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{random string}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• %System%\regsvr32.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
{random key 2}\shell\open\
command
(Default) = "%System%\mshta.exe" "javascript:{random}="{random}";{variable 1}=new ActiveXObject("WScript.Shell");{random}="{random}";{variable 2}={variable 1}.RegRead("HKCU\software\{random string 2}\{random value name 2}");{random}="8";eval(variable 2);{random}="{random}";"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "%AppDataLocal%\{random string}\{random string}.bat"

HKEY_CURRENT_USER\Software\Classes\
.{random extension}
{Default} = "{random key 2}"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random key 1}

HKEY_CURRENT_USER\Software\{random key 2}

HKEY_CURRENT_USER\Software\Classes\
.{random extension}

HKEY_CURRENT_USER\Software\Classes\
{random key 2}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random key 1}
{random string} = "{encrypted data 1}"

HKEY_CURRENT_USER\Software\{random key 1}
{random string} = "{Loader Script}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 1} = "{encrypted data 2}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 1} = "{encrypted data 3}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 2} = "{Loader Script}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 2} = "{User-Agent}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 3} = "{random string}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 3} = "{random string}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 4} = "{random string}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 4} = "{random string}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 5} = "{random string}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 5} = "{random string}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 1} = "{encrypted data 4}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 1} = "{encrypted data 5}"

HKEY_CURRENT_USER\Software\{random key 2}
{random value name 2} = "{Loader Script}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 2}
{random value name 2} = "{User-Agent}"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = "0"

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php
• {random generated ip address} - used for click-fraud activity

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。