Trojan.Win32.FUPORPLEX.AF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\ms{Characters based on C:/ volume serial number}app.dll
• %System Root%\AppPatch\Custom\S{Random characters}.tmp

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\ExpServicA

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SENS
ImagePath = %System Root%\system32\svchost.exe -k NetworkSvcGroup

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SENS
DisplayName = ms{Characters based on C:/ volume serial number}app.dll

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SENS
Description = ms{Characters based on C:/ volume serial number}app.dll

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SENS
Group = UIGroup

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SENS\Parameters
ServiceDll = %System%\ms{Characters based on C:/ volume serial number}app.dll

その他

マルウェアは、以下を実行します。

• It executes its payload if the following strings are found in its filename:
  • ms
  • app
  • cscdll.dll
  • sens.dll
• It checks whether its process name is the following:
  • Winlogon.exe
  • svchost.exe
• It needs the following files to perform its routine:
  • %System Root%\AppPatch\Ke{Random characters}.xsl

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

＜補足＞
インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\ms{ C:/ ボリュームシリアルナンバーに基づいた文字}app.dll
• %System Root%\AppPatch\Custom\S{ランダムな文字}.tmp

その他

マルウェアは、以下を実行します。

• マルウェアは、ファイル名に以下の文字列を確認した場合、ペイロードを実行します。
  • ms
  • app
  • cscdll.dll
  • sens.dll
• マルウェアは、プロセス名が以下のものであるかどうかを確認します。
  • Winlogon.exe
  • svchost.exe
• マルウェアは、自身の不正活動を実行するためには、以下のファイルが必要になります。
  • %System Root%\AppPatch\Ke{ランダムな文字}.xsl