・実行時、以下のファイルをドロップ（作成）します。
- %System%\frmwrk32.exe (FakeAlert-CKという名前で検出)
- %System%\uniq.tll
- %System%\win32hlp.cnf
注：%System%は可変の場所で、Windowsのシステムディレクトリを指しています。
・以下の自動起動エントリを作成します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Framework Windows = "frmwrk32.exe"
・また、インストールの一部として、以下のレジストリ項目を追加します。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop
NoChangingWallpaper dword:00000001
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableTaskMgr dword:00000001
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
NoSetActiveDesktop dword:00000001
NoActiveDesktopChanges dword:00000001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ActiveDesktop
NoChangingWallpaper dword:00000001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
NoSetActiveDesktop dword:00000001
NoActiveDesktopChanges dword:00000001
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\General
Wallpaper "%SystemRoot%\system32\ahtn.htm"
・実際に以下のシステムの改変が行われました。
- タスクマネージャが無効化されます。
- 壁紙が変更され、ユーザが改変できなくなります。
- アクティブデスクトップが無効化されます。
・FakeAlert-CKは壁紙として以下を表示します。
・FakeAlert-CKは吹き出しに以下の偽の警告を表示します。
・以下のURLからファイルをダウンロードします。
- hxxp://trucount3001.com/cgi-bin/promo.pl?code=0000049 - %System%\ntdll64.exeという名前で保存 (FakeAlert-CKという名前で検出)
- hxxp://onlinescanxpp.com/warning.gif - %System%\warning.gifという名前で保存
- hxxp://onlinescanxpp.com/winlogon.htm - %System%\ahtn.htmという名前で保存
・ダウンロード後、ntdll64.exeを実行します。
・FakeAlert-CKは%System%で見つかったWindowsのシステムファイルである「userinit.exe」をntdll64.exeのコピーに置き換えます。その際、オリジナルの「userinit.exe」を「init32.exe」という名前にあらかじめ変更します。
・NTDLL64.EXEは以下のファイルをドロップします。
- %temp%\mousehook.dll
- %temp%\ntdll64.dll
・ドロップ後、ファイルをsvchost.exe、iexplore.exeなどのプロセスに挿入します。
・これらはともにFakeAlert-CK.dllという名前で検出されます。
・MOUSEHOOK.DLLがマウスクリックにフックします。これにより、マウスをクリックすると、hxxp://onlinescanxpp.com/land/eurl/?code=49が開かれる場合があります。
・ユーザが「Scan your system for viruses」をクリックすると、以下のURLに接続し、悪質なウイルス対策プログラムであるAntivirusXP Proをダウンロードして実行します。
hxxp://antivirus-xppro-2009.com/cgi-bin/download.pl?code=0000049
・AntivirusXPが実行されると、Program FilesにAntivirusXP.exeという名前で自身のコピーを作成し、偽のマルウェアスキャンレポートを表示します。
・以下の登録ダイアログを表示して、ユーザにレジストリキーを入力させようとします。
・悪質なウイルス対策プログラムであるAntivirusXP ProもFakeAlert-CKという名前で検出されます。
・また、FakeAlert-CKはHOSTSファイルを改変します。改変されたHOSTSファイルはFakeAlert-CK!hostsという名前で検出されます。
