![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
TROJ_FAKEAV.CRZ
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、「Registry Shell Spawning」という手法で特定のレジストリキーまたはレジストリ値を変更します。これにより、他のアプリケーションが実行されると、このマルウェアも自動実行されます。
マルウェアは、Windows のファイアウォールを回避します。これにより、感染コンピュータにインストールされているファイアウォールから検出されることなく、自身の不正活動を実行することが可能になります。
マルウェアは、実行後、自身を削除します。
マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。
詳細
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %User Profile%\Local Settings\Application Data\{random three letters}.exe
(註:%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>"、Windows NTでは、"C:\WINNT\Profiles\<ユーザ名>"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\<ユーザ名>" です。)
マルウェアは、以下のファイルを作成します。
- %system root%\Documents and Settings\All Users\Application Data\tmf5lj7dlu1u0wa5rigs0i5qno01yg5g35b8t78yk25h4h
- %User Profile%\Local Settings\Application Data\tmf5lj7dlu1u0wa5rigs0i5qno01yg5g35b8t78yk25h4h
- %User Temp%\tmf5lj7dlu1u0wa5rigs0i5qno01yg5g35b8t78yk25h4h
- %User Profile%\Templates\tmf5lj7dlu1u0wa5rigs0i5qno01yg5g35b8t78yk25h4h
(註:%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>"、Windows NTでは、"C:\WINNT\Profiles\<ユーザ名>"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\<ユーザ名>" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\<ユーザー名>\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\TEMP" です。)
自動実行方法
マルウェアは、「Registry Shell Spawning」という手法で以下のレジストリキーまたはレジストリ値を変更します。これにより、特定のファイル形式のファイルが開かれると、このマルウェアも自動実行されます。
HKEY_CLASSES_ROOT\.exe\shell\
open\command
@ = "%User Profile%\Local Settings\Application Data\{random three letters}.exe" -a "%1" %*
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
@ = "%User Profile%\Local Settings\Application Data\{random three letters}.exe" -a "%1" %*
HKEY_CURRENT_USER\Software\Classes\
exefile\shell\open\
command
@ = "%User Profile%\Local Settings\Application Data\{random three letters}.exe" -a "%1" %*
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = 1
マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。
HKEY_CLASSES_ROOT\exefile\shell\
open\command
@ = "%User Profile%\Local Settings\Application Data\{random three letters}.exe" -a "%1" %*
(註:変更前の上記レジストリ値は、「"%1" %*」となります。)
マルウェアは、以下のレジストリ値を変更し、Windows のファイアウォールを無効にします。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0
(註:変更前の上記レジストリ値は、「1」となります。)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = 1
(註:変更前の上記レジストリ値は、「0」となります。)
マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DisableNotifications = 1
その他
マルウェアは、実行後、自身を削除します。
偽セキュリティソフト型不正プログラムによる不正活動
マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。