TROJ_KOVTER.YAEM

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random string}\{random}.lnk - link to Batch file
• %Application Data%\{random string}\{random}.bat - starts Encrypted file
• %Application Data%\{random string}\{random}.{random} - Encrypted file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random string}\{random string}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random string}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• regsvr32.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%System%\mshta.exe" javascript:inN3O="SDR";qo32=new%20ActiveXObject("WScript.Shell");Yge33ypL="3KM3A7Nl";V8Vff=qo32.RegRead("HKCU\software\jcso\cmpvtwstcm");B1Hbd1="8";eval(V8Vff);dlzfo22l="S"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%Application Data%\{random string}\{random string}.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%System%\mshta.exe" javascript:WNoRT5J="vqTkM1N";Q0r=new%20ActiveXObject("WScript.Shell");GnQ4MZvR="iirRNkC";t34Oos=Q0r.RegRead("HKLM\software\jcso\cmpvtwstcm");tP4Pz6="Cx";eval(t34Oos);ds25Uc="KW"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{Random String 1}

HKEY_CURRENT_USER\Software\{Random String 1}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_CURRENT_USER\Software\{Random String 1}
{random string} = {data}

HKEY_CURRENT_USER\Software\{Random String 1}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_CURRENT_USER\Software\{Random String 1}
{Random String 3} = {Encrypted Data}

HKEY_CURRENT_USER\Software\{Random String 1}
{Random String 4} = {Loader Script}

HKEY_LOCAL_MACHINE\Software\{Random String 1}

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{random string} = {data}

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{Random String 3} = {Encrypted Data}

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{Random String 4} = {Loader Script}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php
• http://{BLOCKED}.{BLOCKED}.109.69

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。