PUA.Win32.37Games.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %Application Data%\37GAMES

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Infiltra los archivos siguientes:

• %Application Data%\37GAMES\beauty\gameBeauty.exe
• %Application Data%\37GAMES\beauty\uninst.exe
• %Application Data%\37GAMES\beauty\lander.ini
• %Desktop%\ﾈﾕﾌ讀・・ﾚﾊﾒ.lnk
• %Application Data%\MICROSOFT\Windows\Start Menu\Programs\37GAMES\ﾈﾕﾌ讀・・ﾚﾊﾒ\ﾈﾕﾌ讀・・ﾚﾊﾒ.lnk
• %Application Data%\MICROSOFT\Windows\Start Menu\Programs\37GAMES\ﾈﾕﾌ讀・・ﾚﾊﾒ\uninstallﾈﾕﾌ讀・・ﾚﾊﾒ.lnk
• %User Temp%\ServerTimeStats.tmp
• %User Temp%\ActiveStat.tmp

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• "%Application Data%\37GAMES\beauty\gameBeauty.exe" /setupsucc
• "%Program Files%\Internet Explorer\iexplore.exe" -nohome

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
DisplayName = Name

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
UninstallString = %Application Data%\37GAMES\beauty\uninst.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
DisplayIcon = %Application Data%\37GAMES\beauty\gameBeauty.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
URLInfoAbout = https://m.{BLOCKED}9.com/home/dts/

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
Publisher = ﾈﾕﾌ讀・・ﾚﾊﾒ

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ
DisplayVersion = 2.0.0.0

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ﾈﾕﾌ讀・・ﾚﾊﾒ

It connects to the following possibly malicious URL:

• http://jpeventsapi.{BLOCKED}s.com/
• http://g.wan.{BLOCKED}5.com/
• https://g.wan.{BLOCKED}5.com/
• https://abres.{BLOCKED}b.com/
• https://higawari.{BLOCKED}s.com/
• https://connect.{BLOCKED}ok.net/ja_JP/sdk.js
• https://connect.{BLOCKED}ok.net/ja_JP/sdk.js?hash={random}