TrojanSpy.Win32.LOKI.TIOIBYSM

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• "%User Temp%\sv.dll" -s -pghergbdgsrfhjrtdtggsdg
• "%User Temp%\sise.dll" -s -pfsdgsdfvsdzcxfsDC
• "%Application Data%\curll.exe" -k https://{BLOCKED}o.co/1nFz77
• %User Temp%\svchost.exe
• %User Temp%\sise.exe
• %System%\sc.exe start w32time task_started
• %System%\sdclt.exe /CONFIGNOTIFICATION
• taskhost.exe SYSTEM
• %System%\svchost.exe -k LocalService
• %System%\wsqmcons.exe
• %System%\svchost.exe -k WerSvcGroup
• %System%\schtasks.exe /delete /f /TN "Microsoft\Windows\Customer Experience Improvement Program\Uploader"

スパイウェアは、以下のフォルダを作成します。

• %All Users Profile%\Microsoft\Windows\Sqm\Upload
• %System Root%\Users
• %Application Data%\a9nJpRc0Q
• %All Users Profile%\Microsoft\Windows\Sqm\Manifest
• %User Profile%\AppData
• %All Users Profile%\Microsoft\Windows\Sqm\Sessions

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %Windows%\Tasks\wvrtcv.job
• %Windows%\Tasks\EqNwGfdrBW4eE2.job

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\W32Time
Type = "16"

(註：変更前の上記レジストリ値は、「20」となります。)

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\sise.dll
• %Application Data%\curl.exe
• %User Temp%\sv.dll
• %Application Data%\a9nJpRc0Q
• %User Temp%\sise.exe
• %Application Data%\curll.exe
• %User Temp%\svchost.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}e-public-dns-b.{BLOCKED}e.com
• http://{BLOCKED}o.co

このウイルス情報は、自動解析システムにより作成されました。