TROJ_MOTMOT.CI

マルウェアは、不正なサーバにアクセスし、自身の感染通知およびファイルのダウンロードを行います。マルウェアは、特定の暗号化された環境設定ファイルを利用します。

マルウェアは、暗号化されたデータを含むHTTPリクエストをC&Cサーバへ送信します。

サーバへの接続が確立すると、サーバは、「TROJ_SFXMOT.A」として検出される不正なファイルを用いて応答します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_MOTMOT.DRP

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
tintsetp.exe = "%Application Data%\sun\java\jre1.6.3\tintsetp.exe"

その他

マルウェアは、実行されると、不正なサーバにアクセスし、自身の感染通知およびファイルのダウンロードを行います。

マルウェアは、不正なサーバにアクセスするとき、以下の暗号化された環境設定ファイルを利用します。これらのファイルは、「TROJ_MOTMOT.DRP」によって作成されたものです。

• %Application Data%\Sun\Java\jre1.6.3\time.dat - マルウェアが接続する多数の不正なサーバが記されたリストを含みます。
• %Application Data%\Sun\Java\jre1.6.3\proto.dat - マルウェアが、どのサーバに接続にすべきかを示します。

環境設定ファイル "%Application Data%\Sun\Java\jre1.6.3\time.dat" は、以下のコマンド＆コントロール（C&C）サーバのリストを含みます。

• {BLOCKED}ba.{BLOCKED}4.net
• {BLOCKED}ange.{BLOCKED}et.net
• {BLOCKED}ze.{BLOCKED}s.com
• {BLOCKED}pa.{BLOCKED}s.biz
• {BLOCKED}a.{BLOCKED}y.net
• {BLOCKED}ile.{BLOCKED}e.net
• {BLOCKED}ra.{BLOCKED}a.com
• {BLOCKED}ro.{BLOCKED}o.com
• {BLOCKED}op.{BLOCKED}free.org
• {BLOCKED}ee.{BLOCKED}te.us
• {BLOCKED}.com
• {BLOCKED}a.com
• {BLOCKED}e.{BLOCKED}s.com

マルウェアは、以下のHTTPリクエストをC&Cサーバへ送信します。

• http://{malicious server}/bin/read_i.php?a1={parameter}&a2={parameter}&a3={parameter}

HTTPリクエストが含むデータは、感染コンピュータから収集した以下の情報が暗号化されたものです。

• ユーザ名
• CPUに関する情報
• オペレーティングシステム（OS）に関する情報
• 感染コンピュータに接続されているUSBメモリの数
• ネットワークカードに関する情報

マルウェアは、上述のシステムに関する情報の中に、仮想マシンに関連する以下のいずれかの文字列を確認すると、不正な活動を継続しません。

• VMWARE
• QEMU

サーバへの接続が確立すると、サーバは、不正なファイルを用いて応答します。そしてマルウェアは、このファイルをダウンロードし、以下として保存します。

マルウェアは、ダウンロードしたファイルを実行します。