TROJ_VBKRYPT.XEH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
MseUpdate = "rundll32.exe %User Temp%\midimapbits.txt,Aoout"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MseUpdate = "rundll32.exe %User Temp%\midimapbits.txt,Aoout"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Windows%\imagebase113812.exe
• %User Temp%\setupviewtmp.exe
• %User Temp%\setupviewtmpxxx.exe
• %Temp%\setupviewtmp.exe
• %Temp%\setupviewtmpxxx.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\BITS
WOW64 = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\BITS\Parameters
ServiceDll = "%System%\midimapbits.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\midimapbits.dll
• %User Temp%\midimapbits.txt
• %System Root%\a.dat
• %User Temp%\image.jpg
• %Temp%\image.jpg

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}s.or.kr/movie/img/view.php?{random characters}
• http://ftp.{BLOCKED}ic.com/button08.jpg?201411299
• http://www.{BLOCKED}r.co.kr/bbs2/data/prize/button08.jpg?201411299
• http://www.{BLOCKED}int.jp/member/img/button08.jpg?201411299
• http://www.{BLOCKED}e.net/button08.jpg?201411299
• http://snsdate.{BLOCKED}t.com/button08.jpg?201411299
• http://www.{BLOCKED}ank.co.kr/images/common/button08.jpg?201411299
• http://www.{BLOCKED}o.co.jp/button08.jpg?201411299
• http://www.{BLOCKED}e.com/button08.jpg?201411299
• http://www.{BLOCKED}n.co.kr/bbs/data/free/button08.jpg?201411299
• http://www.{BLOCKED}ng.jp/button08.jpg?201411299
• http://www.{BLOCKED}n.com/button08.jpg?201411299
• http://www.{BLOCKED}o.jp/button08.jpg?201411299
• http://www.{BLOCKED}sn.com/button08.jpg?201411299
• http://www.{BLOCKED}c.jp/button08.jpg?201411299
• http://www.{BLOCKED}y.com/start/button08.jpg?201411299
• http://www.{BLOCKED}ble.net/button08.jpg?201411299
• http://ftp.{BLOCKED}ic.com/navw.gif
• {BLOCKED}5.6.203
• {BLOCKED}35.67
• {BLOCKED}9.222.141
• {BLOCKED}.145.238
• {BLOCKED}0.49.173
• {BLOCKED}.145.169
• {BLOCKED}35.200
• {BLOCKED}.198.79
• {BLOCKED}.131.112
• {BLOCKED}.197.203
• {BLOCKED}5.241.23
• {BLOCKED}.102.42
• {BLOCKED}6.66.188
• {BLOCKED}6.66.199
• {BLOCKED}.93.117
• {BLOCKED}1.30.11

このウイルス情報は、自動解析システムにより作成されました。