TROJ_SHIZ.SMP4

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\apppatch\yrgbqfy.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
userinit = "%System%\userinit.exe,%Windows%\apppatch\yrgbqfy.exe,"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\1.tmp
• %Temp%\1E.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
f0bdff95 = "_CHAR(0x13)_;?¯N§=AÝôUÈ _CHAR(0x03)_؃Ìjƒfæàð적€¦ŽgÎ_CHAR(0x0E)_k_CHAR(0x18)_Þ*``_CHAR(0x1F)_Š‡Iz_CHAR(0x0B)_.Zhž)J_CHAR(0x12)_¯ªß7iÞk_CHAR(0x1F)_ÓWÏòf™R¯A©ÿJkjÊ;"§Óæò°_CHAR(0x10)__CHAR(0x0B)_ï&#Îz_CHAR(0x12)_.*à_CHAR(0x12)__CHAR(0x17)_ן/)“_CHAR(0x07)_búé`QWê_CHAR(0x1F)_·8nr€p¨ZÀè¾_CHAR(0x0F)_ÈÒb_CHAR(0x01)_ð_CHAR(0x0E)_аªw _CHAR(0x0B)_©X±;;(ʯ±7_CHAR(0x17)_þb"áҖÛè—/ÿJÿJº’ØÙþŠ–¨³;_CHAR(0x18)_ˆæ“ï{:÷㸡o_CHAR(0x18)__CHAR(0x1A)_‡‡[&§hÐ_CHAR(0x12)_ߎ®oYÁsB_CHAR(0x03)_‘òG¶—ï—ËÉ_CHAR(0x1E)_þï?"Î_CHAR(0x01)_æv_CHAR(0x01)_Çë˜Ï_CHAR(0x17)_7÷Šñ ŠÏ¿nßp*9O_CHAR(0x13)_p¸_CHAR(0x08)_rkÂHۈò/â_CHAR(0x02)_wÏiCëf0bdff95"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\advapi32.dll[MofResourceName] = "LowDateTime:-878345984,HighDateTime:29653303***Binary mof compiled successfully"

(註：変更前の上記レジストリ値は、「LowDateTime:-1618731008,HighDateTime:29653597***Binary mof compiled successfully」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\apppatch\yrgbqfy.exe
• %Temp%\F.tmp
• %Temp%\C.tmp
• %Temp%\7.tmp
• %Temp%\B.tmp
• %Temp%\A.tmp
• %Temp%\9.tmp
• %Temp%\2.tmp
• %Temp%\4.tmp
• %Temp%\5.tmp
• %Temp%\D.tmp
• %Temp%\8.tmp
• %Temp%\6.tmp
• %Temp%\3.tmp
• %Temp%\E.tmp
• %Temp%\11.tmp
• %Temp%\10.tmp
• %Temp%\13.tmp
• %Temp%\12.tmp
• %Temp%\14.tmp
• %Temp%\15.tmp
• %Temp%\16.tmp
• %Temp%\18.tmp
• %Temp%\17.tmp
• %Temp%\1A.tmp
• %Temp%\19.tmp
• %Temp%\1C.tmp
• %Temp%\1B.tmp
• %Temp%\1D.tmp
• %Temp%\1F.tmp
• %Temp%\20.tmp

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}s.com/login.php
• http://{BLOCKED}r.com/login.php
• http://{BLOCKED}b.com/login.php
• http://{BLOCKED}x.com/login.php
• http://{BLOCKED}s.com/login.php
• http://{BLOCKED}h.com/login.php
• http://{BLOCKED}d.com/login.php
• http://{BLOCKED}l.com/login.php
• http://{BLOCKED}z.com/login.php
• http://{BLOCKED}b.com/login.php
• http://{BLOCKED}m.com/login.php
• http://{BLOCKED}h.com/login.php
• http://{BLOCKED}p.com/login.php
• http://{BLOCKED}f.com/login.php
• http://{BLOCKED}s.com/login.php
• http://{BLOCKED}w.com/login.php
• http://{BLOCKED}k.com/login.php
• http://{BLOCKED}r.com/login.php
• http://{BLOCKED}n.com/login.php

このウイルス情報は、自動解析システムにより作成されました。