TROJ_AGENT_019199.TOMB

2012年10月13日

別名:

Trojan:Win32/Meredrop (Microsoft); Generic Dropper!1q3 (McAfee); Trojan.Gen (Symantec); PAK:PecBundle, PAK:PECompact, Trojan.Win32.Refroso.dmqw (Kaspersky); LooksLike.Win32.InfectedFile!A (v) (Sunbelt); Trojan.Generic.6069871 (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 25,610 bytes

タイプ EXE

メモリ常駐なし

発見日 2012年6月30日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

%System Root%\setup.ad
%System Root%\setup1.ad
%Windows%\fonts\msgothic.ttf
%Windows%\fonts\msuigoth.ttf
%Windows%\fonts\MSMINCHO.TTF
%Windows%\fonts\Gulim.ttf
%Windows%\fonts\Gulimche.ttf
%Windows%\fonts\Dotum.ttf
%Windows%\fonts\Batang.ttf
%Windows%\fonts\Gungsuh.ttf
%Windows%\fonts\Simsun.ttf
%Windows%\fonts\nsimsun.ttf
%Windows%\fonts\MingLiU.ttf
%Windows%\fonts\pmingliu.ttf
%System%\SET4.tmp
%System%\kbd101b.dll
%System%\SET6.tmp
%System%\kbd101c.dll
%System%\SET8.tmp
%System%\kbd103.dll
%System%\SETA.tmp
%System%\kbd106.dll
%System%\SETC.tmp
%System%\kbdjpn.dll
%System%\SETE.tmp
%System%\kbdkor.dll

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\Directory\Background\
shellex\ContextMenuHandlers\{FCO94F32-9210-4A7D-AAE8-BB0320CB1D10}

HKEY_CLASSES_ROOT\*\shellex\
ContextMenuHandlers\{FCO94F32-9210-4A7D-AAE8-BB0320CB1D10}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{9B3FD067-74E7-4809-B908-DF358CF1A511}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{9B3FD067-74E7-4809-B908-DF358CF1A511}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{9B3FD067-74E7-4809-B908-DF358CF1A511}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{9B3FD067-74E7-4809-B908-DF358CF1A511}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{9B3FD067-74E7-4809-B908-DF358CF1A511}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{9B3FD067-74E7-4809-B908-DF358CF1A511}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}\TypeLib

HKEY_CLASSES_ROOT\CLSID\{6DCB487C-0DFA-48C2-ABDC-296BBD892262}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6DCB487C-0DFA-48C2-ABDC-296BBD892262}\InprocServer32

HKEY_CLASSES_ROOT\pIContextMenu.ShellExt

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\Certificates

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\CRLs

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\TrustedPublisher\CTLs

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
Certificates

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
CRLs

HKEY_CURRENT_USER\Software\Policies\
Microsoft\SystemCertificates\TrustedPublisher\
CTLs

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\International
nTimes = "66"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6DCB487C-0DFA-48C2-ABDC-296BBD892262}
ProgID = "pIContextMenu.ShellExt"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6DCB487C-0DFA-48C2-ABDC-296BBD892262}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6DCB487C-0DFA-48C2-ABDC-296BBD892262}
TypeLib = "{9B3FD067-74E7-4809-B908-DF358CF1A511}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6DCB487C-0DFA-48C2-ABDC-296BBD892262}
VERSION = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pIContextMenu.ShellExt
Clsid = "{6DCB487C-0DFA-48C2-ABDC-296BBD892262}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{96B27E0F-E2B6-4CC4-8F14-D2E408DDEE23}
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "a"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "0"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"