TROJ_MEGAD.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、作成したファイルを実行します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%:svchost.exe
• %System%\icf.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下の無害なファイルを作成します。

• {malware path}\{random}.bat

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
Type = "110"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
ImagePath = "%System%:svchost.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
DisplayName = "ICF"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
Group = "TDI"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF\Security
Security = "{hex values}"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
icf = "%System%\icf.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
icf = "%System%\icf.exe"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF\Security

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ICF\Security

作成活動

マルウェアは、作成したファイルを実行します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}eam.info
• {BLOCKED}ream.info
• {BLOCKED}oairnv.biz
• {BLOCKED}ndream.org
• {BLOCKED}kianfuker.com
• {BLOCKED}nloxajz.com
• {BLOCKED}ebird.biz