TROJ_WERDLOD.F

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\cert{value}.der ← install certificate on trusted root certificate store, will be deleted after
• %User Temp%\{random filename}.txt ← saves gathered cookies content

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\system.pif → copy of itself

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• {firefox path}\prefs.js
  This modified 'prefs.js' contains the following:
  • user_pref("network.proxy.type", 2)
  • user_pref("network.proxy.autoconfig_url", "https://{BLOCKED}onnel.com/akamaijp.js")

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
AutoConfigURL = "https://{BLOCKED}onnel.com/akamaijp.js"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}a.{BLOCKED}i.at/vs28/schule/administrator/components/com_phocagallery/c.exe
• http://www.{BLOCKED}ch-automation.com/images/tteruiteruiutvrtuierutieruteuitietyiy/rctruetyxueryterytieyiter.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %All Users Profile%\Microsoft-KB{random}.exe
  or
• %All Users Profile%\WindowsXP-KB{random}.exe

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアが作成する以下のファイルは、信頼されたルート認証ストアへ証明書をインストールします。また後に削除されるファイルです。

• %All Users Profile%\cert{value}.der

マルウェアが作成する以下のファイルは、収集されたCookieのコンテンツを保存するファイルです。

• %User Temp%\{random filename}.txt

マルウェアが、＜User Startup＞フォルダ内に作成する以下のファイルは、自身のコピーです。

• %User Startup%\system.pif

マルウェアが作成する改変されたファイル"{firefox path}\prefs.js"は、以下を含みます。

• user_pref("network.proxy.type", 2)
• user_pref("network.proxy.autoconfig_url", "https://{BLOCKED}onnel.com/akamaijp.js")

マルウェアは、以下のMicrosoft Windows関連ツールが存在しない場合、ダウンロードおよびインストールします。

• Microsoft Windows PowerShell
• Microsoft .Net Framework
• Windows Server Administration Tools

マルウェアは、以下の正規のURLへアクセスし、これらのインストーラをダウンロードします。

• http://download.microsoft.com/download/{values}/{GUID}/dotnetfx35setup.exe
• http://download.microsoft.com/download/{values}/{GUID}/WindowsXP-KB926139-v2-x86-ENU.exe
• http://download.microsoft.com/download/{values}/{GUID}/adminpak.exe

マルウェアは、以下へアクセスしアクセスカウントを更新します。

• https://www.{BLOCKED}unter.com/counter.php?mvtyiortiyoxirt
• https://www.{BLOCKED}unter.com/counter.php?yitoyctoyxirnymrxoii

マルウェアは、以下のプロセスを確認します。

• VBoxService
• VBoxTray
• Proxifier
• prl_cc
• prl_tools
• vmusrvc
• vmsrvc
• vmtoolsd

マルウェアは、cookieと履歴上の以下のドメインを確認します。

• postfinance.ch
• directnet.com
• zugerkb.ch
• bankaustria.at
• raiffeisen.at
• akb.ch
• bkb.ch
• lukb.ch
• zkb.ch
• gkb.ch
• bekb.ch
• bcv.ch
• bcge.ch
• credit-suisse.com
• directnet.come
• raiffeisendirect.ch
• raiffeisen.atr
• facebook.com

特定のドメインにアクセスすると、感染コンピュータは、以下のURLからのファイルを利用して不正なSOCKSサーバへアクセスします。

• https://{BLOCKED}onnel.com/akamaijp.js

マルウェアは以下のプロセスを終了します。

• chrome.exe
• firefox.exe
• iexplore.exe

マルウェアは、偽のルート証明書をブラウザ（Internet Explorer, Firefox）へインポートします。