TROJ_SCARECROW.A

インストール

マルウェアは、以下のフォルダを追加します。

• %Windows%\PCHEALTH\AutoClean

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のプロセスを追加します。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AutoProtect = %Windows%\pchealth\AutoClean\AutoProtect.vbs

感染活動

上記INFファイルには、以下の文字列が含まれています。

[autorun]
icon=%SystemRoot%\system32\SHELL32.dll,7
open=AutoClean\shh.bat
action=Virus Protection by Scarecrow(The Mick)
shell\open\command=AutoClean\shh.bat

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\pchealth\AutoClean\AutoProtect.vbs - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\autorun.inf - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\call.bat - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\ComboKill.bat - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\invis.vbs - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\Replicate.vbs - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\shh.bat - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\Patch\PatchIt.bat - also detected as TROJ_SCARECROW.A
• %Windows%\pchealth\AutoClean\Patch\update003.bat - also detected as TROJ_SCARECROW.A

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、作成したファイルの属性を以下のように設定します。

• Read-Only, Hidden, and System

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Drops the following files in the root directory of the drive where it was executed: autorun.inf - also detected as TROJ_SCARECROW.A ComboKill.bat - also detected as TROJ_SCARECROW.A AutoClean\AutoProtect.vbs - also detected as TROJ_SCARECROW.A AutoClean\ComboKill.bat - also detected as TROJ_SCARECROW.A AutoClean\Replicate.vbs - also detected as TROJ_SCARECROW.A AutoClean\shh.bat - also detected as TROJ_SCARECROW.A It checks if the following files exist, most of which are related to other malware:
  
  • %Windows%\System\lsas.exe
  • %User Profile%\lsass.exe
  • %Windows%\Tasks\Scvhost.exe
  • {drive letter}\RECYCLER {drive letter}\New.exe
  • {drive letter}\start.exe

  If it finds matches, it terminates the process, remove the attributes, Read-only, Hidden, and System of the file, then deletes the associated files and registries. Below is the list of files:
  

  • %Windows%\System\lsas.exe
  • C:\Documents and Settings\Administrator\lsass.exe
  • %User Profile%\lsass.exe %Windows%\Tasks\Scvhost.exe
  • C:\New.exe %Windows%\Tasks\Scvhost.exe %Windows%\System\bs.pif
  • {drive letter}\RECYCLER {drive letter}\autorun.inf
  • {drive letter}\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\Desktop.ini
  • {drive letter}\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\Autorunme.exe
  • {drive letter}\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213
  • {drive letter}\RECYCLER {drive letter}\New.exe {drive letter}\start.exe

  Below is the list of registry entries:
  

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  Windows Logistics=

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  LSA Shellu=

  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  Load=

  HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
  BackBitmapIE5=

  HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar
  BackBitmapShell=

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)