• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_ARTIEF.EDX

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、チベット文化を宣伝するとされるメールに添付され、コンピュータに侵入します。マルウェアは、バックドア活動を行う、ウイルスに感染したファイルを作成します。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\document.doc

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\svchost.exe - detected as BKDR_RILER.SVR

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して感染活動をします。この脆弱性が利用されると、マルウェアは不正なファイルを作成します。

• (MS10-087) Vulnerabilities in Microsoft Office Could Allow Remote Code Execution (2423930)
• RTF Stack Buffer Overflow Vulnerability (CVE-2010-3333)

マルウェアは、作成されたファイルを実行します。

その他

マルウェアは、以下の脆弱性を利用します。

• RTFのスタック・バッファ・オーバーフローの脆弱性
• MS10-087：Microsoft Office の脆弱性により、リモートでコードが実行される（2423930）

マルウェアは、実行すると、ユーザから自身の不正活動を隠すために、以下の作成された無害なWordファイルを開きます。

• %User Temp%\document.doc

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。.)

作成された以下の不正なファイルは、「PE_SALITY.AC」にも感染していることが確認されています。

• %User Temp%\svchost.exe - 「BKDR_RILER.SVR」として検出

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。.)

その結果、「BKDR_RILER.SVR」および「PE_SALITY.AC」の不正活動が感染コンピュータ上で実行されます。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください