TROJ_FAKEAV.KAX

 危険度:

 ダメージ度:

 感染力:

 感染確認数:

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

  概要

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、偽のセキュリティソフトを装った不正活動をします。マルウェアは、偽の警告およびスキャン結果を表示し、また、自身をインストールする際、他のアプリケーションもインストールします。このインストールされたアプリケーションもこのマルウェアとして検出されます。 マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

  詳細

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Program Files%\Win7 AV

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• Chrome.exe
• firefox.exe
• IExplore.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
ImagePath = %System%\windiskdefend.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
DisplayName = Windows Disk Defender

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\windiskdefend
Description = Provides hard disk defend and error check.

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Win7 AV = %Program Files%\Win7 AV\Win7 AV.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Win7 AV

マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CLASSES_ROOT\CLSID\{C9C42510-9B41-42c1-9DCD-7282A2D07C61}
(Default) = Windows Defendor Web-module

HKEY_CLASSES_ROOT\CLSID\{C9C42510-9B41-42c1-9DCD-7282A2D07C61}\
InProcServer32
(Default) = %System%\windefWebModule.dll

HKEY_CLASSES_ROOT\CLSID\{C9C42510-9B41-42c1-9DCD-7282A2D07C61}\
InProcServer32
ThreadingModel = Apartment

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://initrd.{BLOCKED}v.com/ins/w7avf/0.000/35073951E80010002B1C20V30I7NA/NI/0000/1daf86729ab7e428aed65d56ae6b33d8d0377fb0
• http://initrd.{BLOCKED}v.com/ins/w7avf/0.000/35073951E80010002B1C20V30I7NA/FL/0000/33ca75c798ceffa5693c41287e19cb6f364a9bc1

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• It injects codes to web browsers to display fake infection warnings.

マルウェアは、以下のファイルを作成します。

• %Program Files%\\\\Win7 AV\\\\AxInterop.SHDocVw.dll
• %Program Files%\\\\Win7 AV\\\\base001.dat
• %Program Files%\\\\Win7 AV\\\\base002.dat
• %Program Files%\\\\Win7 AV\\\\base003.dat
• %Program Files%\\\\Win7 AV\\\\Interop.SHDocVw.dll
• %Program Files%\\\\Win7 AV\\\\Win7 AV.exe
• %Program Files%\\\\Win7 AV\\\\Win7Browser.exe
• %Program Files%\\\\Win7 AV\\\\svhostqt.dll
• %Program Files%\\\\Win7 AV\\\\svhostesl.dll
• %Program Files%\\\\Win7 AV\\\\sbhostcl.dll
• %System%\\\\msxml.dll
• %System%\\\\windefWebModule.dll
• %System%\\\\windiskdefend.exe
• %System%\\\\windiskdefend.InstallState
• %User Profile%\\Desktop\\Win7 AV.lnk

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、偽のセキュリティソフトを装った不正活動をします。マルウェアは、偽の警告およびスキャン結果を表示し、また、自身をインストールする際、他のアプリケーションもインストールします。このインストールされたアプリケーションもこのマルウェアとして検出されます。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

  対応方法