TROJ_MALEX.ITW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\smrss.exe
• %System%\freizer.exe
• %Windows%\svchost.exe
• 34211.exe
• %Desktop%\WinPcap_4_1_2.exe
• %Program Files%\Common Files\Microsoft Shared\MSInfo\msinfo32.exe
• %Program Files%\Common Files\Microsoft Shared\Speech\sapisvr.exe
• %Program Files%\Internet Explorer\Connection Wizard\icwconn1.exe
• %Program Files%\Internet Explorer\Connection Wizard\icwconn2.exe
• %Program Files%\Internet Explorer\Connection Wizard\icwrmind.exe
• %Program Files%\Internet Explorer\Connection Wizard\icwtutor.exe
• %Program Files%\Internet Explorer\Connection Wizard\inetwiz.exe
• %Program Files%\Internet Explorer\Connection Wizard\isignup.exe
• %Program Files%\Internet Explorer\iedw.exe
• %Program Files%\Internet Explorer\IEXPLORE.EXE
• %Program Files%\Movie Maker\moviemk.exe
• %Program Files%\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe
• %Program Files%\MSN\MSNCoreFiles\Install\MSN9Components\Msncli.exe
• %Program Files%\MSN\MSNCoreFiles\Install\msnsusii.exe
• %Program Files%\MSN Gaming Zone\Windows\bckgzm.exe
• %Program Files%\MSN Gaming Zone\Windows\chkrzm.exe
• %Program Files%\MSN Gaming Zone\Windows\hrtzzm.exe
• %Program Files%\MSN Gaming Zone\Windows\Rvsezm.exe
• %Program Files%\MSN Gaming Zone\Windows\shvlzm.exe
• %Program Files%\MSN Gaming Zone\Windows\zClientm.exe
• %Program Files%\NetMeeting\cb32.exe
• %Program Files%\NetMeeting\conf.exe
• %Program Files%\NetMeeting\wb32.exe
• %Program Files%\Outlook Express\msimn.exe
• %Program Files%\Outlook Express\oemig50.exe
• %Program Files%\Outlook Express\setup50.exe
• %Program Files%\Outlook Express\wab.exe
• %Program Files%\Outlook Express\wabmig.exe
• %Program Files%\Windows Media Player\migrate.exe
• %Program Files%\Windows Media Player\mplayer2.exe
• %Program Files%\Windows Media Player\setup_wm.exe
• %Program Files%\Windows Media Player\wmplayer.exe
• %Program Files%\Windows NT\Accessories\wordpad.exe
• %Program Files%\Windows NT\dialer.exe
• %Program Files%\Windows NT\hypertrm.exe
• %Program Files%\Windows NT\Pinball\PINBALL.EXE
• %Program Files%\WinPcap\rpcapd.exe
• %Program Files%\WinPcap\Uninstall.exe
• %Windows%\Help\Tours\mmTour\tour.exe
• %Windows%\hh.exe
• %Windows%\msagent\agentsvr.exe
• %Windows%\mui\muisetup.exe
• %Windows%\NOTEPAD.EXE
• %Windows%\pchealth\helpctr\binaries\HelpCtr.exe
• %Windows%\pchealth\helpctr\binaries\HelpHost.exe
• %Windows%\pchealth\helpctr\binaries\HelpSvc.exe
• %Windows%\pchealth\helpctr\binaries\HscUpd.exe
• %Windows%\pchealth\helpctr\binaries\msconfig.exe
• %Windows%\pchealth\helpctr\binaries\notiflag.exe
• %Windows%\pchealth\UploadLB\Binaries\UploadM.exe
• %Windows%\regedit.exe
• %System%\accwiz.exe
• %System%\actmovie.exe
• %System%\ahui.exe
• %System%\append.exe
• %System%\arp.exe
• %System%\asr_fmt.exe
• %System%\asr_ldm.exe
• %System%\asr_pfu.exe
• %System%\at.exe
• %System%\atmadm.exe
• %System%\attrib.exe
• %System%\auditusr.exe
• %System%\autochk.exe
• %System%\autoconv.exe
• %System%\autofmt.exe
• %System%\autolfn.exe
• %System%\blastcln.exe
• %System%\bootcfg.exe
• %System%\bootok.exe
• %System%\bootvrfy.exe
• %System%\cacls.exe
• %System%\calc.exe
• %System%\charmap.exe
• %System%\chkdsk.exe
• %System%\chkntfs.exe
• %System%\cidaemon.exe
• %System%\cipher.exe
• %System%\cisvc.exe
• %System%\ckcnv.exe
• %System%\cleanmgr.exe
• %System%\cliconfg.exe
• %System%\clipbrd.exe
• %System%\clipsrv.exe
• %System%\cmd.exe
• %System%\cmdl32.exe
• %System%\cmmon32.exe
• %System%\cmstp.exe
• %System%\Com\comrepl.exe
• %System%\Com\comrereg.exe
• %System%\comp.exe
• %System%\compact.exe
• %System%\config\systemprofile\Desktop\WinPcap_4_1_2.exe
• %System%\conime.exe
• %System%\control.exe
• %System%\convert.exe
• %System%\cscript.exe
• %System%\ctfmon.exe
• %System%\dcomcnfg.exe
• %System%\ddeshare.exe
• %System%\debug.exe
• %System%\defrag.exe
• %System%\dfrgfat.exe
• %System%\dfrgntfs.exe
• %System%\diantz.exe
• %System%\diskpart.exe
• %System%\diskperf.exe
• %System%\dllhost.exe
• %System%\dllhst3g.exe
• %System%\dmadmin.exe
• %System%\dmremote.exe
• %System%\doskey.exe
• %System%\dosx.exe
• %System%\dplaysvr.exe
• %System%\dpnsvr.exe
• %System%\dpvsetup.exe
• %System%\driverquery.exe
• %System%\drwatson.exe
• %System%\drwtsn32.exe
• %System%\dumprep.exe
• %System%\dvdplay.exe
• %System%\dvdupgrd.exe
• %System%\dwwin.exe
• %System%\dxdiag.exe
• %System%\edlin.exe
• %System%\esentutl.exe
• %System%\eudcedit.exe
• %System%\eventcreate.exe
• %System%\eventtriggers.exe
• %System%\eventvwr.exe
• %System%\exe2bin.exe
• %System%\expand.exe
• %System%\extrac32.exe
• %System%\fastopen.exe
• %System%\fc.exe
• %System%\find.exe
• %System%\findstr.exe
• %System%\finger.exe
• %System%\fixmapi.exe
• %System%\fltMc.exe
• %System%\fontview.exe
• %System%\forcedos.exe
• %System%\freecell.exe
• %System%\fsquirt.exe
• %System%\fsutil.exe
• %System%\ftp.exe
• %System%\gdi.exe
• %System%\getmac.exe
• %System%\gpresult.exe
• %System%\gpupdate.exe
• %System%\grpconv.exe
• %System%\help.exe
• %System%\hostname.exe
• %System%\ie4uinit.exe
• %System%\iexpress.exe
• %System%\imapi.exe
• %System%\ipconfig.exe
• %System%\ipsec6.exe
• %System%\ipv6.exe
• %System%\ipxroute.exe
• %System%\krnl386.exe
• %System%\label.exe
• %System%\lights.exe
• %System%\lnkstub.exe
• %System%\locator.exe
• %System%\lodctr.exe
• %System%\logagent.exe
• %System%\logman.exe
• %System%\logoff.exe
• %System%\logon.scr
• %System%\logonui.exe
• %System%\lpq.exe
• %System%\lpr.exe
• %System%\magnify.exe
• %System%\makecab.exe
• %System%\mem.exe
• %System%\migpwd.exe
• %System%\mmc.exe
• %System%\mnmsrvc.exe
• %System%\mobsync.exe
• %System%\mountvol.exe
• %System%\mplay32.exe
• %System%\mpnotify.exe
• %System%\mqbkup.exe
• %System%\mqsvc.exe
• %System%\mqtgsvc.exe
• %System%\mrinfo.exe
• %System%\mscdexnt.exe
• %System%\msdtc.exe
• %System%\msg.exe
• %System%\mshearts.exe
• %System%\mshta.exe
• %System%\msiexec.exe
• %System%\mspaint.exe
• %System%\msswchx.exe
• %System%\mstinit.exe
• %System%\mstsc.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。. %Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svchost = "%System%\svchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
freizer = "%System%\freizer.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• 34211.exe
• %User Profile%\Sample Pictures\Blue hills.jpg
• %User Profile%\Sample Pictures\Sunset.jpg
• %User Profile%\Sample Pictures\Water lilies.jpg
• %User Profile%\Sample Pictures\Winter.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Clear Day Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Fiesta Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Glacier Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Leaves Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Maize Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Nature Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Pie Charts Bkgrd.jpg
• %Program Files%\Common Files\Microsoft Shared\Stationery\Sunflower Bkgrd.jpg
• %Program Files%\Movie Maker\Shared\Empty.txt
• %Program Files%\Movie Maker\Shared\Profiles\Blank.txt
• %Program Files%\Movie Maker\Shared\Sample1.jpg
• %Program Files%\Movie Maker\Shared\Sample2.jpg
• %Program Files%\Outlook Express\msoe.txt
• %Windows%\Help\Tours\htmlTour\best_road.jpg
• %Windows%\Help\Tours\htmlTour\best_road_big.jpg
• %Windows%\Help\Tours\htmlTour\best_road_ghost.jpg
• %Windows%\Help\Tours\htmlTour\best_robust.jpg
• %Windows%\Help\Tours\htmlTour\best_robust_big.jpg
• %Windows%\Help\Tours\htmlTour\best_robust_ghost.jpg
• %Windows%\Help\Tours\htmlTour\best_secure.jpg
• %Windows%\Help\Tours\htmlTour\best_secure_big.jpg
• %Windows%\Help\Tours\htmlTour\best_secure_ghost.jpg
• %Windows%\Help\Tours\htmlTour\connected_data.jpg
• %Windows%\Help\Tours\htmlTour\connected_data_big.jpg
• %Windows%\Help\Tours\htmlTour\connected_data_ghost.jpg
• %Windows%\Help\Tours\htmlTour\connected_multiple.jpg
• %Windows%\Help\Tours\htmlTour\connected_multiple_big.jpg
• %Windows%\Help\Tours\htmlTour\connected_multiple_ghost.jpg
• %Windows%\Help\Tours\htmlTour\connected_networks.jpg
• %Windows%\Help\Tours\htmlTour\connected_networks_big.jpg
• %Windows%\Help\Tours\htmlTour\connected_networks_ghost.jpg
• %Windows%\Help\Tours\htmlTour\connected_wizard.jpg
• %Windows%\Help\Tours\htmlTour\connected_wizard_big.jpg
• %Windows%\Help\Tours\htmlTour\connected_wizard_ghost.jpg
• %Windows%\Help\Tours\htmlTour\control_up.jpg
• %Windows%\Help\Tours\htmlTour\desktop_screen_shot.jpg
• %Windows%\Help\Tours\htmlTour\desktop_up.jpg
• %Windows%\Help\Tours\htmlTour\end_up.jpg
• %Windows%\Help\Tours\htmlTour\folder_up.jpg
• %Windows%\Help\Tours\htmlTour\gradient.jpg
• %Windows%\Help\Tours\htmlTour\icon_up.jpg
• %Windows%\Help\Tours\htmlTour\img004b.jpg
• %Windows%\Help\Tours\htmlTour\img014.jpg
• %Windows%\Help\Tours\htmlTour\img033.jpg
• %Windows%\Help\Tours\htmlTour\img033a.jpg
• %Windows%\Help\Tours\htmlTour\img034.jpg
• %Windows%\Help\Tours\htmlTour\img040.jpg
• %Windows%\Help\Tours\htmlTour\img046.jpg
• %Windows%\Help\Tours\htmlTour\img060.jpg
• %Windows%\Help\Tours\htmlTour\img068.jpg
• %Windows%\Help\Tours\htmlTour\img072.jpg
• %Windows%\Help\Tours\htmlTour\img074a.jpg
• %Windows%\Help\Tours\htmlTour\img089.jpg
• %Windows%\Help\Tours\htmlTour\img100.jpg
• %Windows%\Help\Tours\htmlTour\img103.jpg
• %Windows%\Help\Tours\htmlTour\img109.jpg
• %Windows%\Help\Tours\htmlTour\img110.jpg
• %Windows%\Help\Tours\htmlTour\img116.jpg
• %Windows%\Help\Tours\htmlTour\img121.jpg
• %Windows%\Help\Tours\htmlTour\img123.jpg
• %Windows%\Help\Tours\htmlTour\img126.jpg
• %Windows%\Help\Tours\htmlTour\img136.jpg
• %Windows%\Help\Tours\htmlTour\img149.jpg
• %Windows%\Help\Tours\htmlTour\intro_logo.jpg
• %Windows%\Help\Tours\htmlTour\logo.jpg
• %Windows%\Help\Tours\htmlTour\pen_icon.jpg
• %Windows%\Help\Tours\htmlTour\question_icon.jpg
• %Windows%\Help\Tours\htmlTour\read_icon.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_better.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_better_big.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_better_ghost.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_easier.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_easier_big.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_easier_ghost.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_faster.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_faster_big.jpg
• %Windows%\Help\Tours\htmlTour\safe_easy_faster_ghost.jpg
• %Windows%\Help\Tours\htmlTour\start_up.jpg
• %Windows%\Help\Tours\htmlTour\taskbar_up.jpg
• %Windows%\Help\Tours\htmlTour\ul_logo.jpg
• %Windows%\Help\Tours\htmlTour\unlock_built.jpg
• %Windows%\Help\Tours\htmlTour\unlock_built_big.jpg
• %Windows%\Help\Tours\htmlTour\unlock_built_ghost.jpg
• %Windows%\Help\Tours\htmlTour\unlock_optimized.jpg
• %Windows%\Help\Tours\htmlTour\unlock_optimized_big.jpg
• %Windows%\Help\Tours\htmlTour\unlock_optimized_ghost.jpg
• %Windows%\Help\Tours\htmlTour\unlock_playing.jpg
• %Windows%\Help\Tours\htmlTour\unlock_playing_big.jpg
• %Windows%\Help\Tours\htmlTour\unlock_playing_ghost.jpg
• %Windows%\Help\Tours\htmlTour\window_up.jpg
• %Windows%\Help\Tours\mmTour\intro.txt
• %Windows%\Help\Tours\mmTour\nav.txt
• %Windows%\Help\Tours\mmTour\segment1.txt
• %Windows%\Help\Tours\mmTour\segment2.txt
• %Windows%\Help\Tours\mmTour\segment3.txt
• %Windows%\Help\Tours\mmTour\segment4.txt
• %Windows%\Help\Tours\mmTour\segment5.txt
• %Windows%\OEWABLog.txt
• %Windows%\pchealth\helpctr\System\DVDUpgrd\stripe.jpg
• %Windows%\pchealth\helpctr\System\sysinfo\graphics\greendot.jpg
• %Windows%\SchedLgU.Txt
• %Windows%\setuplog.txt
• %System%\CatRoot2\dberr.txt
• %System%\drivers\gmreadme.txt
• %System%\eula.txt
• %System%\h323log.txt

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %Temp%\34040.exe

(註：%Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

このウイルス情報は、自動解析システムにより作成されました。