TROJ_TRACUR.SMB

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TROJ_TRACUR.SMA

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random file name}.exe
• %System%\midimap32.exe
• %System%\shmedia32.exe
• %User Profile%\Application Data\SysWin\lsass.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の無害なファイルを作成します。

• %System%\unrar.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\SysWin

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32
ImagePath = "%System%\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32
DisplayName = "Human Interface Device Access "

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32
ObjectName = "LocalSystem"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\HidServ32

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\.fsharproj

HKEY_CLASSES_ROOT\Cfbbbjkdkl

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
982bc1da = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
XMLHTTP_UUID_Default = {random values}

HKEY_CURRENT_USER\Identities
Curr version = "35"

HKEY_CURRENT_USER\Identities
Last Date = "{last date of execution}"

HKEY_CURRENT_USER\Identities
Send Inst = "ok"

HKEY_CURRENT_USER\Identities
Inst Date = "{installation date}"

HKEY_CURRENT_USER\Identities
Popup count = "0"

HKEY_CURRENT_USER\Identities
Popup time = "0"

HKEY_CURRENT_USER\Identities
Popup date = "0"

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%System%\{random file name}.exe = "%System%\{random file name}.exe:*:Enabled:Windows Update Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\{random file name}.exe = "%System%\{random file name}.exe:*:Enabled:Windows Update Service"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}.1.173/doit/{random characters}
• http://{BLOCKED}.1.174/tornado/{random characters}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\{random folder}\frt{random number}.rar

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)