Trojan.JS.TWINFLOWER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• http://{BLOCKED}.{BLOCKED}.37.73:8099/ssd_cfg.db

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\WinRAR\elements162816.db

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
WCCloud
cfg = {encoded value}

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

マルウェアは、以下のプロセスの存在を確認します。

• wireshark.exe
• fiddler.exe
• httpanalyze
• HipsDaemon
• softice.exe
• windgb.exe
• dbg.exe
• tcpmon
• networktrafficview.exe
• hookme.exe
• sniff.exe
• chkencap.exe
• wsockexpert

マルウェアは、以下を実行します。

• It does not perform its download routine if any of the processes are detected running in the affected system
• Connects to the following URL's:
  • http://yky.{BLOCKED}e.com:38275/api/cload.asp?sid={numbers}
  • https://{BLOCKED}a.{BLOCKED}1.la/go1?id=20625191&rt={numbers}&rl=1280*1024&lang=zh-CN&ct=unknow&pf=1&ins=1&vd=1&ce=1&cd=32&ds=hello&ing=1&ekc=&sid={numbers}&tt=hello&kw=hello&cu=https:\\{BLOCKED}o.{BLOCKED}u.com&pu=https:\\{BLOCKED}o.{BLOCKED}u.com
  • https://{BLOCKED}a.{BLOCKED}1.la/go1?id=20625191&rt={numbers}&rl=1280*1024&lang=zh-CN&ct=unknow&pf=1&ins=1&vd=1&ce=1&cd=32&ds=hello&ing=1&ekc=&sid={numbers}&tt=hello&kw=hello&cu=https:\\www.{BLOCKED}u.com\{value}&pu=https:\\www.{BLOCKED}u.com\{value}

ただし、情報公開日現在、このWebサイトにはアクセスできません。