Trojan.Win32.DLOADR.TIOIBEIB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\WScript.exe" "%User Temp%\RarSFX0\install1.vbs"
• %User Temp%\RarSFX0\install1.vbs
• setup1.bat
• %System%\reg.exe REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Windows Updates 1" /t REG_SZ /d ""%System Root%\Program Files\RDP Wrapper"\Updates1.vbs" /f
• %System Root%\Program Files\RDP Wrapper\Updates1.vbs "%System Root%\Program Files\RDP Wrapper"\Updates1.vbs
• "%System%\WScript.exe" "%System Root%\Program Files\RDP Wrapper\Updates1.vbs"
• %System Root%\Program Files\RDP Wrapper\Updates1.vbs
• "%System%\WScript.exe" "%System Root%\Program Files\RDP Wrapper\start1.vbs"
• start1.vbs
• "%System Root%\Program Files\RDP Wrapper\start1.bat"
• start1.bat
• fsutil dirty query %System Root%
• schtasks /create /f /sc ONSTART /tn "RDP Wrapper Autoupdate" /tr "cmd.exe /C \"%System Root%\Program Files\RDP Wrapper\autoupdate.bat\" -log" /ru SYSTEM /delay 0000:10
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• %System%\svchost.exe -k WerSvcGroup
• %System%\WerFault.exe -u -p 2224 -s 1240
• %System%\WerFault.exe -u -p 2432 -s 204
• %System%\WerFault.exe -u -p 1352 -s 44
• %System%\WerFault.exe -u -p 2700 -s 52
• %System%\WerFault.exe -u -p 2004 -s 1224
• %System%\WerFault.exe -u -p 2568 -s 1288
• %System%\WerFault.exe -u -p 1640 -s 188
• %System%\WerFault.exe -u -p 1640 -s 196
• %System%\WerFault.exe -u -p 1640 -s 192

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\Program Files\RDP Wrapper
• %User Temp%\RarSFX0

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Windows%\Tasks\RDP Wrapper Autoupdate.job

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\RarSFX0\start1.vbs
• %System Root%\Program Files\RDP Wrapper\start1.vbs
• %User Temp%\RarSFX0\install1.vbs
• %System Root%\Program Files\RDP Wrapper\Updates1.vbs
• %System Root%\Program Files\RDP Wrapper\setup1.bat
• %System Root%\Program Files\RDP Wrapper\install1.vbs
• %System Root%\Program Files\RDP Wrapper\autoupdate.bat
• %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
• %User Temp%\RarSFX0\Updates1.vbs
• %System Root%\Program Files\RDP Wrapper\start1.bat
• %System Root%\Program Files\RDP Wrapper\uninstall.bat
• %All Users Profile%\Microsoft\Network\Downloader\qmgr1.dat
• %All Users Profile%\Microsoft\Network\Downloader\qmgr0.dat
• %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

このウイルス情報は、自動解析システムにより作成されました。