TROJ_NEUREVT.USNY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %ProgramData%\Windows Error Sync\73g3qusq1.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Crypto\RSA\{CLSID}\{random string}
• %ProgramData%\Windwos Error Sync\zsgarzgvp.txt

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
CurrentVersion\Run
Windows Error Sync = "%ProgramData%\Windows Error Sync\73g7qusq1.exe"

HKEY_CURRENT_USER\Software\Microsoft\
CurrentVersion\RunOnce
Windows Error Sync = "%ProgramData%\Windows Error Sync\73g7qusq1.exe"

マルウェアは、特定のアプリケーションの起動時に自身が自動実行されるよう、「Image File Execution Options」キーを用いて以下のレジストリキーおよびレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image Fike Execution Options\
rstrui,exe
Debugger = "rhaugkeldh.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image Fike Execution Options\
73g3qusq1.exe
DisableExceptionChainValidation = "{null}"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

KEY_CURRENT_USER\Software\AppDataLow\
Software\{GUID}\{random key}\
{random key}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
Software\{GUID}\{random key}\
{random key}
{random value} = "{hex values}"

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\ControlSet001\services\
SharedAccess\Parameters\FirewallPolicy\
StandardProfile
EnableFirewall = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_LOCAL_MACHINE\ControlSet001\services\
SharedAccess\Parameters\FirewallPolicy\
PublicProfile
EnableFirewall = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}uptly.ru/logout.php