![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
TROJ_DELFIN.G
Windows 2000, XP, Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
詳細
インストール
マルウェアは、以下のフォルダを追加します。
- %Application Data%\SystemProc
- %Program Files%\Mozilla Firefox
- %Program Files%\Mozilla Firefox\extensions
- %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}
- %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome
- %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome\content
(註:%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\<ユーザ名>\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Application Data" です。. %Program Files%は、標準設定では "C:\Program Files" です。)
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
RTHDBPL = %Application Data%\SystemProc\lsass.exe
マルウェアは、以下のファイルを作成します。
- %Application Data%\SystemProc\lsass.exe - copy of itself
- %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome\content\timer.xul - non-malicious component
- %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\install.rdf - non-malicious component
- %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome.manifest - non-malicious component
(註:%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\<ユーザ名>\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Application Data" です。. %Program Files%は、標準設定では "C:\Program Files" です。)
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Identities
Curr version = 25
HKEY_CURRENT_USER\Identities
Last Date = {date}
HKEY_CURRENT_USER\Identities
Inst Date = {date}
HKEY_CURRENT_USER\Identities
Popup count = 0
HKEY_CURRENT_USER\Identities
Popup time = 0
HKEY_CURRENT_USER\Identities
Popup date = 0
HKEY_CURRENT_USER\Identities
KillSelf = ok
HKEY_CURRENT_USER\Identities
First Start = {malware path and filename}
HKEY_CURRENT_USER\Identities
Send Inst = ok