TROJ_KOVTER.SMFD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

その他は、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

その他は、以下のファイルを作成します。

• %AppDataLocal%\{random folder name}\{random filename}.{random file extension} - Encrypted file
• %AppDataLocal%\{random folder name}\{random filename}.bat - starts Encrypted file
• %AppDataLocal%\{random folder name}\{random filename}.lnk - starts BAT file
• %Application Data%\{random folder name}\{random filename}.{random file extension} - Encrypted file
• %User Startup%\{random filename}.lnk - Starts Encrypted file

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

その他は、以下のプロセスを追加します。

• %System%\regsvr32.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他は、以下のフォルダを作成します。

• %AppDataLocal%\{random folder name}
• %Application Data%\{random folder name}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他は、以下のプロセスにコードを組み込みます。

• %System%\regsvr32.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

その他は、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Value} = %AppDataLocal%\{Random String}\{Random String}.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Value} = "%System%\mshta.exe" "javascript:{Random}="{Random}";{Random Variable}=new ActiveXObject("WScript.Shell");{Random}="{Random}";EKb5F=Rq55.RegRead("HKCU\software\{Random String 2}\{Random Value Name}");{Random}="{Random}";eval({Random Variable});{Random}="{Random}";"

他のシステム変更

その他は、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\{Random String}

HKEY_CLASSES_ROOT\.{Random File Extension}

HKEY_CURRENT_USER\Software\{Random String}

HKEY_CLASSES_ROOT\{Random String}\shell

HKEY_CLASSES_ROOT\{Random String}\shell\
open

HKEY_CLASSES_ROOT\{Random String}\shell\
open\command

その他は、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = 0

HKEY_CLASSES_ROOT\.{Random File Extension}
{Default} = {Random String}

HKEY_CLASSES_ROOT\{Random String}\shell\
open\command
{Default} = "%System%\mshta.exe" "javascript:{Random}="{Random}";{Random Variable}=new ActiveXObject("WScript.Shell");{Random}="{Random}";EKb5F=Rq55.RegRead("HKCU\software\{Random String}\{Random String 3}");{Random}="{Random}";eval({Random Variable});{Random}="{Random}";"

HKEY_CURRENT_USER\Software\{Random String}
{Random String 1} = Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; InfoPath.2; .NET4.0C; .NET4.0E)

HKEY_CURRENT_USER\Software\{Random String}
{Random String 2} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random String}
{Random String 3} = {Encrypted Data}

HKEY_CURRENT_USER\Software\{Random String}
{Random String 4} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random String}
{Random String 5} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random String}
{Random String 6} = {Random Characters}

Webブラウザのホームページおよび検索ページの変更

その他は、IEのゾーン設定を変更します。

その他

その他は、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.67.23/upload.php
• {Random Generated IP Address} - used for click-fraud activity

その他は、実行後、自身を削除します。