TROJ_MALEX.AE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\smss.exe

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ
ImagePath = "%Program Files%\smss.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ
DisplayName = "System Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ
ObjectName = "LocalSystem"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ﾏｵﾍｳｹﾘｼ・ﾎ

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_*00CF*00B5*00CD*00B3*00B9*00D8*00BC*00FC*00B7*00FE*00CE*00F1

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}7.{BLOCKED}3.in:8456/z/arp.exe
• http://{BLOCKED}7.{BLOCKED}3.in:8456/z/ad.txt
• http://{BLOCKED}0.{BLOCKED}x.com/{unknown-0}.exe
• http://{BLOCKED}1.{BLOCKED}x.com/{unknown-1}.exe
• http://{BLOCKED}2.{BLOCKED}x.com/{unknown-2}.exe
• http://{BLOCKED}3.{BLOCKED}x.com/{unknown-3}.exe
• http://{BLOCKED}4.{BLOCKED}x.com/{unknown-4}.exe
• http://{BLOCKED}5.{BLOCKED}x.com/{unknown-5}.exe
• http://{BLOCKED}6.{BLOCKED}x.com/{unknown-6}.exe
• http://{BLOCKED}7.{BLOCKED}x.com/{unknown-7}.exe
• http://{BLOCKED}8.{BLOCKED}x.com/{unknown-8}.exe
• http://{BLOCKED}9.{BLOCKED}x.com/{unknown-9}.exe
• http://{BLOCKED}a.{BLOCKED}x.com/{unknown-10}.exe
• http://{BLOCKED}b.{BLOCKED}x.com/{unknown-11}.exe
• http://{BLOCKED}c.{BLOCKED}x.com/{unknown-12}.exe
• http://{BLOCKED}d.{BLOCKED}x.com/{unknown-13}.exe
• http://{BLOCKED}e.{BLOCKED}x.com/{unknown-14}.exe
• http://{BLOCKED}f.{BLOCKED}x.com/{unknown-15}.exe
• http://{BLOCKED}g.{BLOCKED}x.com/{unknown-16}.exe
• http://{BLOCKED}h.{BLOCKED}x.com/{unknown-17}.exe
• http://{BLOCKED}i.{BLOCKED}x.com/{unknown-18}.exe
• http://{BLOCKED}j.{BLOCKED}x.com/{unknown-19}.exe

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。