VBS_FAKEAV.SMW

マルウェアは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

侵入方法

マルウェアは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\FAantivirus.vbs

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• {DRIVE}:\autorun.inf - detected as VBS_AUTORUN.FEG

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• wscript.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKLM\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %System%\wscript.exe %System%\FAantivirus.vbs"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %SYSTEM%\8bu.exe
• %SYSTEM%\New Folder.exe
• %SYSTEM%\New_Folder.exe
• %SYSTEM%\True Love.exe
• %SYSTEM%\True_Love.doc.exe
• %SYSTEM%\True_Love.exe
• %SYSTEM%\autorun.inf
• %SYSTEM%\blastclnnn.exe
• %SYSTEM%\boot.vbs
• %SYSTEM%\dxdlg.exe
• %SYSTEM%\hb1.com
• %SYSTEM%\kinza.exe
• %SYSTEM%\sccvhsot.exe
• %SYSTEM%\scvvhsot.exe
• %SYSTEM%\sevhost.com
• %SYSTEM%\sevhost.exe
• %SYSTEM%\ssvchost.exe
• %SYSTEM%\true_love.exe
• %SYSTEM%\wprop.exe
• %WINDOWS%\8bu.exe
• %WINDOWS%\New Folder.exe
• %WINDOWS%\New_Folder.exe
• %WINDOWS%\True Love.exe
• %WINDOWS%\True_Love.doc.exe
• %WINDOWS%\True_Love.exe
• %WINDOWS%\blastclnnn.exe
• %WINDOWS%\boot.vbs
• %WINDOWS%\dxdlg.exe
• %WINDOWS%\hb1.com
• %WINDOWS%\kinza.exe
• %WINDOWS%\sccvhsot.exe
• %WINDOWS%\scvvhsot.exe
• %WINDOWS%\sevhost.com
• %WINDOWS%\sevhost.exe
• %WINDOWS%\ssvchost.exe
• %WINDOWS%\true_love.exe
• %WINDOWS%\wprop.exe
• {DRIVE}:\ravmon.exe
• {DRIVE}:\autorun.inf
• {DRIVE}:\sxs.exe
• {DRIVE}:\kinza.exe
• {DRIVE}:\SCVVHSOT.exe
• {DRIVE}:\New Folder.exe
• {DRIVE}:\Autorun.inf
• {DRIVE}:\isetup.exe
• {DRIVE}:\explorer.exe
• {DRIVE}:\smss.exe
• {DRIVE}:\winfile.exe
• {DRIVE}:\run.wsh
• %SYSTEM ROOT%\killvbs.vbs
• %SYSTEM ROOT%\VirusRemoval.vbs
• %SYSTEM ROOT%\CleanVirus.vbs
• %SYSTEM ROOT%\Boot.vbs
• %SYSTEM ROOT%\Program Files\Bonjour\mdnsNSP.dll
• %SYSTEM ROOT%\Program Files\Bonjour\mdnsResponder.exe

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Fusion|Ace Enterprises"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\System
DisableCMD = "0"

HKLM\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
CurrentBuild = "1.511.1 () (Obsolete data - do not use)"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.socio.fusionace.com"

(註：変更前の上記レジストリ値は、「{User Defined}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
ProductId = "55274-640-1011873-23573"

(註：変更前の上記レジストリ値は、「{User Product ID}」となります。)

感染活動

マルウェアは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

その他

削除されるファイルは、他のマルウェアによって作成された不正なファイルです。マルウェアは、感染コンピュータ内の他のマルウェアを削除します。