Trojan.Win32.WACATAC.USXVPC520

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\WScript.exe" "%User Profile%\e7318o7580\frxk.vbs"
• %User Profile%\e7318o7580\frxk.vbs
• "%User Profile%\e7318o7580\bgnc.exe" bbwh.hrb
• bgnc.exe bbwh.hrb
• "%System%\WScript.exe" "%User Profile%\E7318O~1\run.vbs"
• %User Profile%\e7318o7580\run.vbs

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\Users
• %User Profile%\temp
• %User Profile%\e7318o7580

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
e7318o7580 = "%User Profile%\e7318o7580\start.vbs"

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\start.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
WindowsUpdate = "%User Profile%\E7318O~1\bgnc.exe %User Profile%\E7318O~1\bbwh.hrb"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\e7318o7580\sfft.dll
• %User Profile%\e7318o7580\ihgokxo.cpl
• %User Profile%\e7318o7580\gmhqmejmnu.txt
• %User Profile%\e7318o7580\gsxfpx.exe
• %User Profile%\e7318o7580\neelh.dat
• %User Profile%\e7318o7580\kosli.icm
• %User Profile%\e7318o7580\qxltmsrv.nls
• %User Profile%\e7318o7580\lcsch.dat
• %User Profile%\e7318o7580\mkisbvicb.dat
• %User Profile%\e7318o7580\telju.bmp
• %User Profile%\e7318o7580\umfaxgvddg.xls
• %User Profile%\e7318o7580\temaisafm.mp3
• %User Profile%\e7318o7580\ncnvo.cpl
• %User Profile%\e7318o7580\bbwh.hrb
• %User Profile%\e7318o7580\clvi.dat
• %User Profile%\e7318o7580\sqhdkaen.mp3
• %User Profile%\e7318o7580\ufpthdrlik.mp3
• %User Profile%\e7318o7580\bgnc.exe
• %User Profile%\e7318o7580\run.vbs
• %User Profile%\e7318o7580\frxk.vbs
• %User Profile%\e7318o7580\gtbfbre.cpl
• %User Profile%\e7318o7580\ruedovrn.jpg
• %User Profile%\e7318o7580\nmqjuionn.pdf
• %User Profile%\e7318o7580\pwjfkebkn.exe
• %User Profile%\e7318o7580\shwhufik.xl
• %User Profile%\e7318o7580\xeahg.xls
• %User Profile%\e7318o7580\rtpd.mp3
• %User Profile%\e7318o7580\dsqqqmqsmp.jpg
• %User Profile%\e7318o7580\dcrhw.xls
• %User Profile%\temp\seiwjnn.nls
• %User Profile%\e7318o7580\fwvda.ppt
• %User Profile%\e7318o7580\shosoq.msc
• %User Profile%\e7318o7580\start.vbs
• %User Profile%\e7318o7580\start.cmd
• %User Profile%\e7318o7580\seiwjnn.nls
• %User Profile%\e7318o7580\uahpei.nls

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

このウイルス情報は、自動解析システムにより作成されました。