TROJ_SASFIS.XG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\~__UNINST.EXE

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\~pmThis.tmp
• 59.txt

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\WinHgwd32
SYSTEM\CurrentControlSet\Services\WinHgwd32 = "Windows Hlkr System for X32 windows desktop"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\hzdgzb
Description = "hzdgzb"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\MD ServicesB1
Description = "Thank you"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\2.exe
• %User Temp%\IEXPLORERl.exe
• %User Temp%\biz.exe
• %User Temp%\www.naver.com
• %User Temp%\27.exe
• %System%\hfblddel.bat
• %User Temp%\~pmThis.tmp
• %System%\WinHrso32.exe
• %System%\firefox.exe
• %System%\ccuwco.exe
• %Program Files%\Internet Explorer\Svcxknu.exe

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}ya.com/dkk.htm
• http://www.{BLOCKED}ya.com/din.htm

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。