HTML_HTAPORN.JA

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

マルウェアは、特定のWebサイトに誘導します。

侵入方法

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

インストール

マルウェアは、以下のフォルダを追加します。

• {All User's Profile}\Application Data\padpd
• %System Root%\Program Data\padpd

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {All User's Profile}\Application Data\padpd\{userid}.h
• %System Root%\Program Data\padpd\{userid}.h

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下の不正なファイルまたはコンポーネントを追加します。

• {All User's Profile}\Application Data\padpd\{userid}.bat
• %System Root%\Program Data\padpd\{userid}.bat
• {All User's Profile}\Application Data\padpd\resta.bat
• %System Root%\Program Data\padpd\resta.bat
• {All User's Profile}\Application Data\padpd\2.dat
• %System Root%\Program Data\padpd\2.dat
• {All User's Profile}\Application Data\padpd\d.bat
• %System Root%\Program Data\padpd\d.bat

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
webpadpd = "%System Root%\Program Data\padpd\{userid}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
webpadpd = "{All User's Profile}\Application Data\padpd\{userid}"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Webpadpd
userid = "{userid}"

HKEY_CURRENT_USER\Software\Webpadpd
tmpdate = "{String value}"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Webpadpd

その他

マルウェアは、以下のWebサイトに誘導します。

• http://{BLOCKED}a.us/user/h_check.php?{parameters}
• http://{BLOCKED}a.us/user/h_info_ajax.php?{parameters}