PUA.Win32.37Games.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\37GAMES

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %Application Data%\37GAMES\beauty\gameBeauty.exe
• %Application Data%\37GAMES\beauty\uninst.exe
• %Application Data%\37GAMES\beauty\lander.ini
• %Desktop%\ﾈﾕﾌ讀・・ﾚﾊﾒ.lnk
• %Application Data%\MICROSOFT\Windows\Start Menu\Programs\37GAMES\ﾈﾕﾌ讀・・ﾚﾊﾒ\ﾈﾕﾌ讀・・ﾚﾊﾒ.lnk
• %Application Data%\MICROSOFT\Windows\Start Menu\Programs\37GAMES\ﾈﾕﾌ讀・・ﾚﾊﾒ\uninstallﾈﾕﾌ讀・・ﾚﾊﾒ.lnk
• %User Temp%\ServerTimeStats.tmp
• %User Temp%\ActiveStat.tmp

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%Application Data%\37GAMES\beauty\gameBeauty.exe" /setupsucc
• "%Program Files%\Internet Explorer\iexplore.exe" -nohome

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
DisplayName = Name

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
UninstallString = %Application Data%\37GAMES\beauty\uninst.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
DisplayIcon = %Application Data%\37GAMES\beauty\gameBeauty.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
URLInfoAbout = https://m.{BLOCKED}9.com/home/dts/

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
Publisher = ﾈﾕﾌ讀・・ﾚﾊﾒ

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
DisplayVersion = 2.0.0.0

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ

It connects to the following possibly malicious URL:

• http://jpeventsapi.{BLOCKED}s.com/
• http://g.wan.{BLOCKED}5.com/
• https://g.wan.{BLOCKED}5.com/
• https://abres.{BLOCKED}b.com/
• https://higawari.{BLOCKED}s.com/
• https://connect.{BLOCKED}ok.net/ja_JP/sdk.js
• https://connect.{BLOCKED}ok.net/ja_JP/sdk.js?hash={random}