TROJ_SAVIT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\msvcr.dll
• %Application Data%\ws2help.PNF

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の無害なファイルを作成します。

• %System%\ipsecstap.dat
• %System%\{numbers}

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\IECheck.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %System%\netsat.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• 4.{BLOCKED}st.{BLOCKED}22.org.cn
• 3.{BLOCKED}st.{BLOCKED}22.org.cn
• 2.{BLOCKED}st.{BLOCKED}22.org.cn
• 1.{BLOCKED}st.{BLOCKED}22.org.cn
• {BLOCKED}st.{BLOCKED}22.org.cn

マルウェアは、フォルダ "＜User Startup＞" 内の正規のショートカットファイル（拡張子LNK）を検索します。マルウェアは、ショートカットファイルの一つを変更し、変更したショートカットファイルが実行される度に作成した自身のコピーを自動実行します。