BKDR_VAWTRAK.YVH
Trojan-PSW.Win32.Tepfer.tttf (Kaspersky), Backdoor:Win32/Vawtrak.D (Microsoft), Win32/PSW.Papras.DC trojan (ESET)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware name} = "regsvr32.exe "{malware path}\{malware name}.{file extension}""
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
PolicyScope = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
DefaultLevel = "262144"
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
TransparentEnabled = "1"
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}onally.com/forumdisplay.php?fid={value}
- http://{BLOCKED}ilix.com/forumdisplay.php?fid={value}
- http://{BLOCKED}ag.com/forumdisplay.php?fid={value}
- http://{BLOCKED}old.com/forumdisplay.php?fid={value}
- http://{BLOCKED}oxon.com/forumdisplay.php?fid={value}
- http://{BLOCKED}5.{BLOCKED}.32.67/forumdisplay.php?fid={value}
- http://{BLOCKED}5.{BLOCKED}.32.80/forumdisplay.php?fid={value}
- http://{BLOCKED}6.{BLOCKED}5.233.38/forumdisplay.php?fid={value}
- http://{BLOCKED}olon.com/{BLOCKED}mdisplay.php?fid={value}
- http://{BLOCKED}6.{BLOCKED}5.233.80/forumdisplay.php?fid={value}
- http://{BLOCKED}diaz.com/{BLOCKED}display.php?fid={value}
- http://{BLOCKED}ilpane.com/{BLOCKED}display.php?fid={value}