TROJ_PH.293CDA37

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\WWTYVOXVRORYUR[R[ORRUVT\scservice.exe
• %System%\JJGLIBKIEBELHE[E[BEEHIG\pj5g42.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %System%\WWTYVOXVRORYUR[R[ORRUVT
• %System%\JJGLIBKIEBELHE[E[BEEHIG
• %System Root%\xampp
• %System Root%\xampp\htdocs
• %System Root%\xampp\htdocs\myphish
• %System Root%\xampp\htdocs\myphish\images

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
pj5g42 = "%System%\JJGLIBKIEBELHE[E[BEEHIG.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
pj5g42 = "%System%\JJGLIBKIEBELHE[E[BEEHIG\pj5g42.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
Debugger = "%System%\JJGLIBKIEBELHE[E[BEEHIG\services.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
Debugger = "%System%\JJGLIBKIEBELHE[E[BEEHIG\pj5g42.exe"

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\WWTYVOXVRORYUR[R[ORRUVT\servicess.exe
• %System%\JJGLIBKIEBELHE[E[BEEHIG\pj5g42.exe
• %System%\WWTYVOXVRORYUR[R[ORRUVT\mirror.exe
• %System%\WWTYVOXVRORYUR[R[ORRUVT\netdhcp.exe
• %System%\WWTYVOXVRORYUR[R[ORRUVT\scservice.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://cnc.{BLOCKED}rill.my/phish/xmayabank.html
• http://cnc.{BLOCKED}rill.my/phish/images/arrow.png
• http://cnc.{BLOCKED}rill.my/phish/images/banner.gif
• http://cnc.{BLOCKED}rill.my/phish/images/footer.png
• http://cnc.{BLOCKED}rill.my/phish/images/keys_icon.gif
• http://cnc.{BLOCKED}rill.my/phish/images/login_box.gif
• http://cnc.{BLOCKED}rill.my/phish/images/login_button.gif
• http://cnc.{BLOCKED}rill.my/phish/images/notes.gif
• http://cnc.{BLOCKED}rill.my/phish/images/secure.png

このウイルス情報は、自動解析システムにより作成されました。