• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_SHARIK.CHVR

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• hashed computer name and volume serial number

マルウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://windowsupdate.microsoft.com

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ハッシュ化されたコンピュータ名およびボリュームシリアル番号

マルウェアは自身の不正活動を実行する前に以下の確認を行います。

• 以下のPEB構造のフラグがデバッグされていることを示していないこと。
  • IsDebugging
  • NtGlobalFlag
• モジュールファイル名が文字列“sample”を含んでいないこと。
• ボリュームシリアル番号が以下の値でないこと。
  • 0xCD1A40 (ThreatExpert)
• HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Disk\Enum下のレジストリデータが文字列を含んでいないこと。
  • qemu
  • virtual
  • vmware
• 以下のモジュールが読み込まれていないこと。
  • dbghelp
  • sbiedll

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}linker.biz/tmpp2/index.php

マルウェアは、以下のHTTPリクエストを送信し、感染状況を報告します。

• cmd={getload or grab or getproxy}
• login={hashed computer name and volume serial number}
• bits={0 or 1}
• file={value}
• run=ok
• run=fail
• sel={seller name/bot ID}
• ver={os version}
• doubles=1
• personal=ok
• removed=ok
• admin={value}
• hash={value}

ただし、情報公開日現在、上述のWebサイトにはアクセスできません。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください