• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_FAKEAV.REN

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\{random characters}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{3 random characters}.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\.exe\DefaultIcon

HKEY_CLASSES_ROOT\.exe\shell

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\.exe\DefaultIcon
(Default) = %1

HKEY_CLASSES_ROOT\.exe\shell\
open\command
(Default) = {malware path and file name} -a "%1" %*

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
(Default) = "%1" %*

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\exefile
Content Type = application/x-msdownload

HKEY_CLASSES_ROOT\exefile\shell\
open\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\exefile\shell\
runas\command
IsolatedCommand = "%1" %*

HKEY_CURRENT_USER\Software\Microsoft\
Windows
Identity = {random hex values}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = %System%\ctfmon.exe

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
open\command
(Default) = {malware path and file name} -a "%Program Files%\Mozilla Firefox\firefox.exe"

(註：変更前の上記レジストリ値は、「%Program Files%\Mozilla Firefox\firefox.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
safemode\command
(Default) = {malware path and file name} -a "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode

(註：変更前の上記レジストリ値は、「%Program Files%\Mozilla Firefox\firefox.exe -safe-mode」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\IEXPLORE.EXE\shell\
open\command
(Default) = {malware path and file name} -a "%Program Files%\Internet Explorer\iexplore.exe"

(註：変更前の上記レジストリ値は、「%Program Files%\Internet Explorer\iexplore.exe」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}xuxu.com
• {BLOCKED}wigana.com
• {BLOCKED}kumobij.com
• {BLOCKED}woto.com
• {BLOCKED}jisem.com
• {BLOCKED}qylalewe.com
• {BLOCKED}jujoxo.com
• {BLOCKED}dyto.com
• {BLOCKED}vomopozy.com
• {BLOCKED}lap.com
• {BLOCKED}vahazyla.com
• {BLOCKED}byfaf.com
• {BLOCKED}rebacuf.com
• {BLOCKED}ryfoh.com
• {BLOCKED}KOVO.COM
• {BLOCKED}jepi.com
• {BLOCKED}hyze.com
• {BLOCKED}gyry.com
• {BLOCKED}vunokyk.com
• {BLOCKED}dywucyle.com
• {BLOCKED}juwevul.com
• {BLOCKED}lejuj.com
• {BLOCKED}hagupy.com
• {BLOCKED}MACIK.COM
• {BLOCKED}naja.com
• {BLOCKED}hidid.com
• {BLOCKED}kokazoz.com
• {BLOCKED}zuzidepo.com
• {BLOCKED}pap.com
• {BLOCKED}PYFUW.COM
• {BLOCKED}nageboj.com
• {BLOCKED}cin.com
• {BLOCKED}nojy.com
• {BLOCKED}wemyvuda.com
• {BLOCKED}kalyna.com
• {BLOCKED}ziqyze.com
• {BLOCKED}zyp.com
• {BLOCKED}fyqevaz.com
• {BLOCKED}wozebyle.com
• {BLOCKED}vokizax.com
• {BLOCKED}zegokido.com
• {BLOCKED}dudag.com
• {BLOCKED}osoft.com
• {BLOCKED}bex.com
• {BLOCKED}osoft.com
• {BLOCKED}nejuf.com
• {BLOCKED}PIG.COM
• {BLOCKED}XUDY.COM
• {BLOCKED}wupece.com
• {BLOCKED}hinynuh.com
• {BLOCKED}fyna.com
• {BLOCKED}JEZ.COM
• {BLOCKED}vadaqyz.com
• {BLOCKED}tige.com
• {BLOCKED}paqatyc.com
• {BLOCKED}gevuryt.com
• {BLOCKED}nyxorun.com
• {BLOCKED}hibijy.com
• {BLOCKED}xojis.com
• {BLOCKED}bytedotu.com
• {BLOCKED}pih.com
• {BLOCKED}zeno.com
• {BLOCKED}papavi.com
• {BLOCKED}nilulyh.com
• {BLOCKED}kasagynu.com
• {BLOCKED}fyp.com
• {BLOCKED}fydiruv.com
• {BLOCKED}zupilog.com
• {BLOCKED}kubovu.com
• {BLOCKED}vykavo.com
• {BLOCKED}nej.com
• {BLOCKED}kun.com
• {BLOCKED}jybi.com
• {BLOCKED}hoto.com
• {BLOCKED}zyniw.com
• {BLOCKED}SUR.COM
• {BLOCKED}keke.com
• {BLOCKED}pyzoqah.com
• {BLOCKED}roqej.com
• {BLOCKED}PYLA.COM
• {BLOCKED}tyn.com
• {BLOCKED}cupohyv.com
• {BLOCKED}damaqyr.com
• {BLOCKED}zolibuhy.com
• {BLOCKED}ryfuwy.com
• {BLOCKED}semijawo.com
• {BLOCKED}fodafur.com
• {BLOCKED}zom.com
• {BLOCKED}byrum.com
• {BLOCKED}sotopib.com
• {BLOCKED}syfage.com
• {BLOCKED}gac.com

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください