TROJ_RANSOM.WQ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\freeman.exe - also detected as TROJ_RANSOM.WQ
• %User Temp%\isrcr.exe - also detected as TROJ_RANSOM.WQ
• %User Temp%\239x5QEd6X0preq.exe - also detected as TROJ_RANSOM.WQ

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\wcfgconf.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Policies = %System%\wcfgconf.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
wcfgconf = %System%\wcfgconf.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{XR18O8O1-787Y-480T-42EM-OIS0PLFFT5XR}
StubPath = %System%\wcfgconf.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\SXSHXEFOEMWYOGI\shell\
open\command
(default) = %User Temp%\239x5QEd6X0preq.exe

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{XR18O8O1-787Y-480T-42EM-OIS0PLFFT5XR}

HKEY_CLASSES_ROOT\.ENCRYPTED!!!

HKEY_CLASSES_ROOT\SXSHXEFOEMWYOGI