TROJ_PACKSKINTRIM_000002b.TOMA

2012年10月10日

別名:

TrojanDownloader:Win32/Wintrim.BX (Microsoft); Skintrim.gen.f (McAfee); Trojan Horse (Symantec); PAK:PE_Patch (Kaspersky); Trojan-Downloader.Win32.Wintrim.bxa (v) (Sunbelt); Trojan.Generic.5601586 (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 922,724 bytes

タイプ EXE

メモリ常駐はい

発見日 2012年9月26日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%System Root%\DOCUME~1
%System Root%\DOCUME~1\ADMINI~1
%User Profile%\LOCALS~1
%User Temp%\nsa3.tmp
%Program Files%\InternetGameBox
%Program Files%\InternetGameBox\ressources
%Program Files%\InternetGameBox\skins
%Start Menu%\Programs\InternetGameBox
ressources
ressources\favoris
%Program Files%\InternetGameBox\ressources\favoris

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
owfefn = "%Application Data%\owfefn.exe owfefn"

他のシステム変更

マルウェアは、以下のファイルを削除します。

%User Temp%\nsk1.tmp
%User Temp%\nsa3.tmp
%User Temp%\wbk4.tmp
%Windows%\SoftwareDistribution\DataStore\Logs\edbtmp.log

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\IGB

HKEY_LOCAL_MACHINE\Software\IGB

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox

HKEY_CURRENT_USER\Software\fcn

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
owfefn

HKEY_CURRENT_USER\Software\LanConfig

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{8CC497C9-A1DF-11CE-8098-00AA0047BE5D}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C0-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C0-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C0-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C0-A1DF-11CE-8098-00AA0047BE5D}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C2-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C2-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C2-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C2-A1DF-11CE-8098-00AA0047BE5D}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C1-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C1-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C1-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C1-A1DF-11CE-8098-00AA0047BE5D}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C3-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C3-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C3-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C3-A1DF-11CE-8098-00AA0047BE5D}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C4-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C4-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C4-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C4-A1DF-11CE-8098-00AA0047BE5D}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C5-A1DF-11CE-8098-00AA0047BE5D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C5-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C5-A1DF-11CE-8098-00AA0047BE5D}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C5-A1DF-11CE-8098-00AA0047BE5D}\TypeLib

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0\signatures

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
nums = "FCu_SSmAAA-FB0rWl0AAA"

HKEY_CURRENT_USER\Software\IGB
nums = "FCu_SSmAAA-FB0rWl0AAA"

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
grpid = "875"

HKEY_CURRENT_USER\Software\IGB
grpid = "875"

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
InstallOpt1 = "1"

HKEY_CURRENT_USER\Software\IGB
InstallOpt1 = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
installdt = "20081206"

HKEY_CURRENT_USER\Software\IGB
installdt = "20081206"

HKEY_CURRENT_USER\Software\IGB
uai = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
dl_lg = "IT"

HKEY_CURRENT_USER\Software\IGB
dl_lg = "IT"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox
DisplayName = "InternetGameBox "

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox
UninstallString = "%Program Files%\InternetGameBox\uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox
UninstallString2 = "%Program Files%\InternetGameBox\uninst.exe /S"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox
DisplayIcon = "%Program Files%\InternetGameBox\InternetGameBox.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox
URLInfoAbout = "http://www.{BLOCKED}etgamebox.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
InternetGameBox
Publisher = "OOO «Favorit»"

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
Installer Language = "1033"

HKEY_CURRENT_USER\Software\fcn
gid = "875"

HKEY_CURRENT_USER\Software\fcn
cnid = "V4Nb4bUgSie8y5MG1mwFnw"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
owfefn
DisplayName = "Favorit"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
owfefn
UninstallString = "%Application Data%\owfefn.exe -uninstall"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
owfefn
NoRemove = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
owfefn
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
owfefn
NoRepair = "1"

HKEY_CURRENT_USER\Software\fcn
idt = "201209260834"

HKEY_CURRENT_USER\Software\LanConfig
LAN = "UP"

HKEY_LOCAL_MACHINE\SOFTWARE\IGB
bnrid = "672125"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
ConnectionSettingsMigrated = "1"

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0
StoreMigratedV5 = "1"

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0
Settings Upgraded = "7"

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0
Running = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
AssociatedID = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = "4"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C0-A1DF-11CE-8098-00AA0047BE5D}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C2-A1DF-11CE-8098-00AA0047BE5D}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C1-A1DF-11CE-8098-00AA0047BE5D}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C3-A1DF-11CE-8098-00AA0047BE5D}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C4-A1DF-11CE-8098-00AA0047BE5D}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8CC497C5-A1DF-11CE-8098-00AA0047BE5D}\TypeLib
Version = "1.0"

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0\Mail
Attach VCard = "0"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\SessionInformation
ProgramCount = "2"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_CURRENT_USER\SessionInformation
ProgramCount = "1"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_CURRENT_USER\SessionInformation
ProgramCount = "3"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
317A2AD07F2B335EF5A1C34E4B57E8B7D8F1FCA6
Blob = "{random values}"