TROJ_PROAGENT.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\ADMINI~1
• %User Profile%\LOCALS~1
• %Application Data%\Thinstall\Cache
• %Application Data%\Thinstall
• %User Profile%\Thinstall\Betfair Trader
• %User Profile%\Application Data\Thinstall

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
qservices = "%Windows%\qservice.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\nst1.tmp
• %Windows%\qservice.exe
• %User Profile%\Betfair Trader\Registry.rw.tvr.lck
• %System%\agnt_fps.dat
• %System%\agnt_mps.dat
• %System%\agnt_msn.dat
• %System%\_pnc.dat

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\NirSoft\
MailPassView

HKEY_CURRENT_USER\Software\NirSoft\
MessenPass

HKEY_CURRENT_USER\SOFTWARE\mirabilis\
icq\NewOwners

HKEY_LOCAL_MACHINE\SOFTWARE\Miranda

HKEY_LOCAL_MACHINE\SOFTWARE\mirabilis\
icq\DefaultPrefs

HKEY_CURRENT_USER\SOFTWARE\mirabilis\
icq\DefaultPrefs

HKEY_CURRENT_USER\SOFTWARE\RIT\
The Bat!

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Trillian

HKEY_CURRENT_USER\Software\Far\
Plugins\FTP\Hosts

HKEY_CURRENT_USER\Software\Ghisler\
Windows Commander

HKEY_CURRENT_USER\Software\Ghisler\
Total Commander

HKEY_LOCAL_MACHINE\Software\Ghisler\
Windows Commander

HKEY_LOCAL_MACHINE\Software\Ghisler\
Total Commander

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
&RQ

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows
pVer = "c8"

HKEY_CURRENT_USER\Software\Microsoft\
Windows
qservices = "qservices"

HKEY_CURRENT_USER\Software\Microsoft\
Windows
pPid = "788"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\1.exe
• %User Temp%\Betfair Trader.exe
• %User Profile%\Betfair Trader\Registry.rw.tvr.lck.BRIAN-15CCAD32E.ffffffff678
• %User Profile%\Betfair Trader\Registry.tlog.cache
• %Windows%\services.dll
• %System%\drivers\KeenSense.sys
• %System%\drivers\ksdevice.sys
• %System%\HookApi.dll
• %Windows%\JiurlPortHide.sys
• %Windows%\kurlmon.dll
• %System%\agnt_fps.exe
• %System%\agnt_mps.exe
• %System%\agnt_msn.exe
• %System%\agnt_pnc.exe
• agnt_fps.dat
• agnt_mps.dat
• agnt_msn.dat
• _pnc.dat
• %User Temp%\ie1D18.tmp
• %Windows%\qservice.exe
• %User Profile%\Betfair Trader\Registry.rw.tvr.transact

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

このウイルス情報は、自動解析システムにより作成されました。