TROJ_PIDIEF.KGM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %AppDataLocal%\cache\LangBar32.dll - TROJ_INJECT.CPX
• %AppDataLocal%\cache\LangBar64.dll (64-bit only) - TROJ64_INJECT.CPX

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\Visaform Turkey.pdf

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\cache
• %AppDataLocal%\cache\{random}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

作成活動

マルウェアは、作成されたファイルを実行します。

その他

マルウェアは、不正なファイルを作成するために以下のソフトウェアに存在するゼロデイ脆弱性を利用します。

• Adobe PDF Reader 9
• Adobe PDF Reader 10
• Adobe PDF Reader 11

マルウェアは、ファイル "Visaform Turkey.pdf" を開くことで、ユーザに通常のPDFファイルであるように思わせます。

マルウェアが作成する以下のコンポーネントは、「TROJ_INJECT.CPX」として検出されます。

• %AppDataLocal%\cache\LangBar32.dll

マルウェアが作成する以下のコンポーネントは、「TROJ64_INJECT.CPX」として検出されます。

• %AppDataLocal%\cache\LangBar64.dll (64 bit搭載のコンピュータのみ)