TROJ_KOVTER.DZD

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• JS_LOCKY.DLDSDZD

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random string}\{random string}.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\{random foldername}\{random filename}.bat - starts Encrypted file
• %AppDataLocal%\{random foldername}\{random filename}.{random extension} - Encrypted file

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• regsvr32.exe

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{random foldername}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• created regsvr32.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
{random key 2}\shell\open\
command
(Default) = ""%System%\mshta.exe" javascript:{random}="{random}";{variable 1}=new%20ActiveXObject("WScript.Shell");{random}="{random}";{variable 2}={variable 1}.RegRead("HKCU\software\{random key 1}\{random valuename 2}");{random}="{random}";eval({variable 2});{random}="{random}";"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = ""%System%\mshta.exe" javascript:{random}="{random}";{variable 1}=new%20ActiveXObject("WScript.Shell");{random}="{random}";{variable 2}={variable 1}.RegRead("HKCU\software\{random key 1}\{random valuename 2}");{random}="{random}";eval({variable 2});{random}="{random}";"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
(Default) = ""%System%\mshta.exe" javascript:{random}="{random}";{variable 1}=new%20ActiveXObject("WScript.Shell");{random}="{random}";{variable 2}={variable 1}.RegRead("HKLM\software\{random key 1}\{random valuename 2}");{random}="{random}";eval({variable 2});{random}="{random}";"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = %AppDataLocal%\{random string}\{random string}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random key 1}

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}

HKEY_CURRENT_USER\Software\Classes\
.{random extension}

HKEY_CURRENT_USER\Software\Classes\
{random key 2}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random key 1}
{random valuename 1} = "{Encrypted Data}"

HKEY_CURRENT_USER\Software\{random key 1}
{random valuename 2} = "{Loader Script}"

HKEY_CURRENT_USER\Software\{random key 1}
{random valuename 3} = "{User-Agent}"

HKEY_CURRENT_USER\Software\{random key 1}
{random valuename 4} = "{3 random number}"

HKEY_CURRENT_USER\Software\{random key 1}
{random valuename 5} = "{16 hex numbers}"

HKEY_CURRENT_USER\Software\{random key 1}
{random valuename 6} = "{10 random numbers}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}
{random valuename 1} = "{Encrypted Data}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}
{random valuename 2} = "{Loader Script}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}
{random valuename 3} = "{User-Agent}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}
{random valuename 4} = "{3 random number}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}
{random valuename 5} = "{16 hex numbers}"

HKEY_LOCAL_MACHINE\SOFTWARE\{random key 1}
{random valuename 6} = "{10 random numbers}"

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php
• {random generated ip address} → used for click-fraud activity

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。