TSPY_FRETHOG.LP

マルウェアは、実行後、自身を削除します。

マルウェアは、自身のコピーがWindows起動時に自動実行されるようレジストリ値を追加します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\4tddfwq0.dll - also detected as TSPY_FRETHOG.LP

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\xvassdf.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
54dfsger = %User Temp%\xvassdf.exe

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\MADOWN

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• VCRMON.EXE
• Update.exe
• CCSVCHST.EXE
• ALUSCHEDULERSVC.EXE
• luall.exe
• ASHDISP.EXE
• EKRN.EXE
• AVP.EXE
• UFSEAGNT.EXE
• SfFnUp.exe
• UfUpdUi.exe
• AVGNT.EXE
• preupd.exe
• VSTSKMGR.EXE
• mcupdate.exe
• AVGRSX.EXE
• avgupd.exe
• svchost.exe
• LIVESRV.EXE
• aseNXD.EXE

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www.{BLOCKED}sw.com/1rb/ar1.rar
• http://www.{BLOCKED}wf.com/1rb/ar.rar

その他

このマルウェアのDLLコンポーネントは、複数の実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、人気のオンラインゲームに関連する以下のプロセスにコードを組み込み、ユーザ名およびパスワードといった個人情報を収集します。

• ARAD.exe
• pol.exe
• maplestory.exe
• red stone.exe
• cabalmain.exe
• coc.exe Ragexe.exe
• InphaseNXD.EXE
• Atlantica.exe
• cabalmain.exe