ADW_PCMIGHT

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにアドウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %Application Data%\PC MightyMax 2012\DiagnosticReporter.exe
• %Application Data%\PC MightyMax 2012\DiagnosticReporter.ico
• %Application Data%\PC MightyMax 2012\ElevateHelper.exe
• %Application Data%\PC MightyMax 2012\FileExtHandler.exe
• %Application Data%\PC MightyMax 2012\icon.ico
• %Application Data%\PC MightyMax 2012\ICSharpCode.SharpZipLib.dll
• %Application Data%\PC MightyMax 2012\pcmm2012.exe
• %Application Data%\PC MightyMax 2012\ScanSpecific.dll
• %Application Data%\PC MightyMax 2012\taskkill.exe
• %Application Data%\PC MightyMax 2012\TrayIcon.exe
• %Application Data%\PC MightyMax 2012\Uninstall.exe
• %User Profile%\Application Data\PCMM2012\diagnostic\trace.log
• %User Temp%\nsm4.tmp\NSISpcre.dll
• %User Temp%\nshB.tmp\InstallOptions.dll
• %User Temp%\nshB.tmp\ioSpecial.ini
• %User Temp%\nshB.tmp\modern-wizard.bmp
• %User Temp%\~nsu.tmp\Au_.exe
• %Start Menu%\Programs\PC MightyMax 2012\Create Diagnostic Report.lnk
• %Start Menu%\Programs\PC MightyMax 2012\PC MightyMax 2012.lnk
• %Start Menu%\Programs\PC MightyMax 2012\Uninstall.lnk
• %Desktop%\PC MightyMax 2012.lnk

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。)

アドウェアは、以下のフォルダを作成します。

• %Application Data%\PC MightyMax 2012
• %Application Data%\PC MightyMax 2012\AgentID
• %Application Data%\PC MightyMax 2012\DownloadID
• %User Profile%\Application Data\licenses
• %User Profile%\Application Data\licenses\PCMightyMaxfebfe168-41ca-41d5-8bc3-4e56f27af863
• %Start Menu%\Programs\PC MightyMax 2012
• %User Profile%\Application Data\PCMM2012
• %User Profile%\Application Data\PCMM2012\diagnostic
• %User Profile%\Application Data\PCMM2009
• %User Profile%\Application Data\PCMM2009\diagnostic
• %User Profile%\Application Data\PCMM2009\diagnostic\last-scan
• %User Profile%\Application Data\PCMM2009\pcmm2009-configuration

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
PC MightyMax 2012 Tray Icon = ""C:\Documents and Settings\winxp.KARLD-WINXP\Local Settings\Application Data\PC MightyMax 2012\TrayIcon.exe""

他のシステム変更

アドウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\PC MightyMax 2012
(Default) = "%Application Data%\PC MightyMax 2012"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
DisplayName = "PC MightyMax 2012"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
UninstallString = %Application Data%\PC MightyMax 2012\Uninstall.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
DisplayIcon = %Application Data%\PC MightyMax 2012\pcmm2012.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
Publisher = "PC MightyMax"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
HelpLink = "http://www.pcmightymax.net"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
NoModify = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
NoRepair = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
VersionMajor = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{3f6555c4-0a24-11dc-8314-0800200c9a66}
VersionMinor = "3"

ダウンロード活動

アドウェアは、以下の不正Webサイトにアクセスします。

• www.{BLOCKED}tymax.net