TROJ_VUNDO.XPBJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Program Files%\Common Files\Plugins

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
MseUpdate = "rundll32.exe %User Temp%\midimapbots.txt,Axuut"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MseUpdate = "rundll32.exe %User Temp%\midimapbots.txt,Axuut"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\V3Manager\Parameters

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %System%\drivers\etc\hosts

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のファイルを削除します。

• %Windows%\imagebase113812.exe
• %User Temp%\setupviewtmp.exe
• %User Temp%\setupviewtmpxxx.exe
• %System%\drivers\etc\hosts.del
• %Temp%\scsB8.tmp
• %Temp%\scsBE.tmp
• %Temp%\scsB6.tmp
• %Temp%\scsC0.tmp
• %System%\drivers\etc\HOSTSI~1.DEL

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\BITS
WOW64 = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
V3Manager = "{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
Description = "Safe manager for V3 AntiVirius"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
DisplayName = "V3 Manager"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
Group = "Com Infrastructure"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
FailureAction = "{random values}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager
ImagePath = "%SystemRoot%\system32\svchost -k V3Manager"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager\Parameters
ServiceDll = "%System%\V3Manager64.dll"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\V3Manager\Parameters
ServiceMain = "WoMain"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DataAccess
xyz = "%Temp%\setupviewtmp.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DataAccess
xyz = "%Temp%\setupviewtmpxxx.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DataAccess
vpn = "211.233.128.29"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\BITS\Parameters
ServiceDll = "%System%\midimapbots.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "www.naver.com"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\midimapbots.dll
• %User Temp%\midimapbots.txt
• %System Root%\a.dat
• %User Temp%\image.jpg
• %Temp%\image.jpg
• %Temp%\setupviewtmp.exe
• %System%\V3Manager64.dll
• %Program Files%\Common Files\Plugins\index.txt
• %Program Files%\Common Files\Plugins\start1.bat
• %System%\kb234234.log
• %System%\drivers\etc\hosts.ics

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}s.or.kr/movie/img/view.php?{random characters}
• http://ftp.{BLOCKED}at.com/{BLOCKED}at.jpg?2015221
• http://ftp.{BLOCKED}at.com/menuw.gif
• http://www.{BLOCKED}r.co.kr/bbs2/data/prize/chagesat.jpg?2015221
• http://www.{BLOCKED}int.jp/member/img/chagesat.jpg?2015221
• http://www.{BLOCKED}e.net/chagesat.jpg?2015221
• http://snsdate.{BLOCKED}t.com/chagesat.jpg?2015221
• http://www.{BLOCKED}ank.co.kr/images/common/chagesat.jpg?2015221
• http://www.{BLOCKED}o.co.jp/chagesat.jpg?2015221
• http://www.{BLOCKED}e.com/chagesat.jpg?2015221
• http://www.{BLOCKED}n.co.kr/bbs/data/free/chagesat.jpg?2015221
• http://www.{BLOCKED}ng.jp/chagesat.jpg?2015221
• http://www.{BLOCKED}n.com/chagesat.jpg?2015221
• http://www.{BLOCKED}o.jp/chagesat.jpg?2015221
• http://www.{BLOCKED}sn.com/chagesat.jpg?2015221
• http://www.{BLOCKED}c.jp/chagesat.jpg?2015221
• http://www.{BLOCKED}y.com/start/chagesat.jpg?2015221
• http://www.{BLOCKED}ble.net/chagesat.jpg?2015221
• http://{BLOCKED}8.150.118/swfcode/index.txt
• http://{BLOCKED}8.150.118/swfcode/start1.bat
• {BLOCKED}5.6.203
• {BLOCKED}35.68
• {BLOCKED}1.30.11
• {BLOCKED}.145.238
• {BLOCKED}0.49.173
• {BLOCKED}.145.169
• {BLOCKED}35.200
• {BLOCKED}.70.252
• {BLOCKED}4.241.205
• {BLOCKED}.197.203
• {BLOCKED}5.241.23
• {BLOCKED}.102.42
• {BLOCKED}5.68.187
• {BLOCKED}8.152.146
• {BLOCKED}6.66.188
• {BLOCKED}6.66.199
• {BLOCKED}.93.117
• {BLOCKED}0.0.151
• {BLOCKED}2.222.169
• {BLOCKED}2.222.90
• {BLOCKED}.217.250
• {BLOCKED}.131.112
• {BLOCKED}0.1
• {BLOCKED}7.110.234

このウイルス情報は、自動解析システムにより作成されました。