TROJ_MEGYA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\ADMINI~1
• %User Profile%\LOCALS~1
• %Program Files%\Common Files
• %Program Files%\Common Files\Microsoft Shared
• %Program Files%\Common Files\Microsoft Shared\Web Components
• %User Temp%\nsv3.tmp

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
jkss.exe = "%Program Files%\Common Files\Microsoft Shared\Web Components\jkss.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\nsd1.tmp
• %User Temp%\nsa2.tmp
• %User Temp%\nsv3.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\svchost.exe
• %User Temp%\hosts
• %User Temp%\AAC2010_Keygen-64bits.exe
• %Program Files%\jkss.exe
• %User Temp%\nsv3.tmp\NSISArray.dll
• %User Temp%\nsv3.tmp\NSISdl.dll
• %User Temp%\Microsoft Visual C++ 2010 Redistributable Package.txt
• %User Temp%\nsv3.tmp\blowfish.dll
• %Program Files%\setup01.cab
• %Program Files%\bfw.exe
• %Program Files%\setup_.cab

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}yltd.net/html/license_43EC922A3D0E1F403834E5456BAC1A12683D6F6CE3D7CF5C5B42E32E9B504B752F1741098BD8D605E4C1D8B64990528D3E21F4805B031E3609A4E5815B41D93262C32829119C74593BB07584AE629155AFAAD023EDF983A90F585277BA50F3F89B5A36DE2ED589C16E04B906E24EDB1DA66119B6089B65E6CE

このウイルス情報は、自動解析システムにより作成されました。