TROJ_INCURE.A

2014年4月11日

別名:

Trojan horse Generic21.LLY.dropper (AVG)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 21,735,769 bytes

タイプ EXE

メモリ常駐はい

発見日 2014年4月11日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%System Root%\DOCUME~1
%System Root%\DOCUME~1\Wilbert
%User Profile%\LOCALS~1
%User Temp%\Agent
%User Temp%\nsz6.tmp
%System%\Infosecure
%System%\Infosecure\File
%System%\Infosecure\Count
%System%\Infosecure\Log
%System%\Infosecure\Netinfo
%System%\Infosecure\Netinfo\Log
%System%\Infosecure\Netinfo\count
%System%\Infosecure\Netinfo\Ftp
%System%\Infosecure\Netinfo\Ftp\Temp
%System%\Infosecure\NetInfo
%System%\Infosecure\NetInfo\Log
%System%\Infosecure\NetInfo\Count
%System%\Infosecure\NetInfo\Ftp
%System%\Infosecure\NetInfo\Ftp\Temp
%System%\Infosecure\NetInfo\Bin
%System%\Infosecure\NetInfo\Config
%System%\Infosecure\NetInfo\driver
%System%\Infosecure\NetInfo\driver\CISCO350
%System%\Infosecure\NetInfo\driver\CISCO350\2K
%System%\Infosecure\NetInfo\driver\CISCO350\XP

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\zzz_1_00_00

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\zzz_1_00_11

他のシステム変更

マルウェアは、以下のファイルを削除します。

%User Temp%\nsl1.tmp
%User Temp%\nsz6.tmp
%System%\Infosecure\Svc.exe
%System Root%\uninstall.exe
%System%\uninstall.exe
%System%\AD_19.dat
%System%\Infosecure\Netinfo\Bin\DsClientNetInfo.exe
%System%\INFOSECURE\NETINFO\Config\NARules.ldb
%System%\infosecure\test.txt

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
Ms IAP Service

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
Ms IAP Service

HKEY_LOCAL_MACHINE\Software\DsClientRSvr

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion
Agent = "install"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
DisplayName = "Ms IAP Service"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ImagePath = "%System%\Infosecure\DsClientSvc.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
Type = "11"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
3474:TCP = "3474:TCP:*:Enabled:DsClientRSvr"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\GloballyOpenPorts\
List
3474:TCP = "3474:TCP:*:Enabled:DsClientRSvr"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Jet\4.0\Engines
SandBoxMode = "2"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ImagePath = "%System%\infosecure\DsClientSvc.exe"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{00000100-0000-0010-8000-00AA006D2EA4}\InprocServer32
ThreadingModel = "Apartment"