W2KM_CERTOR.B

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上で、特定の感染活動を実行します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Application Data%\TP\p\Profiles

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
AutoConfigURL = "http://{domain}/{random characters}.js?ip={IP}"
where domain can be the following:

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\cert.der
• %User Temp%\{random characters}.ps1-used to install certificate in Internet Explorer
• %User Temp%\{random characters}.ps1-used to install certificate in FireFox
• %Application Data%\TP\p\Profiles\Default.ppx-Profile Settings of Proxifier
• %Application Data%\TP\p\Settings.ini-initialization settings of Proxifier

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http:/{BLOCKED}ier.com/distr/ProxifierPE.zip -Proxy Software
• http:/{BLOCKED}ad-codeplex.sec.s-msft.com/Download/Release?ProjectName=taskscheduler&DownloadId=1505290&FileTime=131142250937900000&Build=21031-used for Task Scheduler
• https:/{BLOCKED}t.{BLOCKED}ject.org/torbrowser/6.0.4/tor-win32-0.2.8.6.zip-TOR browser

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\ts.zip-Task Scheduler
• %User Temp%\t.zip-TOR browser
• %User Temp%\p1.zip-Proxifier
  • Note: These files were deleted after extracting

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下の感染活動を実行します。

• powershell -ExecutionPolicy Unrestricted -File "%User Temp%\{random characters}.ps1"
• certutil -addstore -f -user "ROOT" "%User Temp%\cert.der"
• taskkill /F /im iexplore.exe
• taskkill /F /im firefox.exe
• taskkill /F /im chrome.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)