PUA.Win32.AdAware.USMANHBAAJ

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "%User Temp%\7zS49B1BF0A\GenericSetup.exe" %User Temp%\7zS49B1BF0A\GenericSetup.exe husertype=Admin
• %User Temp%\7zS49B1BF0A\GenericSetup.exe %User Temp%\7zS49B1BF0A\GenericSetup.exe husertype=Admin

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %User Temp%\7zS49B1BF0A\Resources\images
• %User Temp%\7zS49B1BF0A
• %User Temp%\7zS49B1BF0A\Resources

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のファイルを削除します。

• %User Temp%\7zS49B1BF0A

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\7zS49B1BF0A\Resources\images
• %User Temp%\7zS49B1BF0A\BundleConfig.json
• %User Temp%\7zS49B1BF0A\Microsoft.Win32.TaskScheduler.dll
• %User Temp%\7zS49B1BF0A\Resources\images\content-bg.png
• %User Temp%\WhiteSmoke.log
• %User Temp%\7zS49B1BF0A\Resources\InstallingPage.html
• %User Temp%\7zS49B1BF0A\Resources\OfferPage.html
• %User Temp%\7zS49B1BF0A\GenericSetup.exe.config
• %User Temp%\7zS49B1BF0A\Resources\style.css
• %User Temp%\7zS49B1BF0A\ExternalResource.XML
• %User Temp%\7zS49B1BF0A\GenericSetup.dll
• %User Temp%\7zS49B1BF0A\Resources\Config.tis
• %User Temp%\7zS49B1BF0A\Resources\images\Header.png
• %User Temp%\7zS49B1BF0A\Resources\OfferPage.tis
• %User Temp%\7zS49B1BF0A\installer.exe
• %User Temp%\7zS49B1BF0A\Carrier.EXE
• %User Temp%\7zS49B1BF0A\Resources
• %User Temp%\7zS49B1BF0A\OfferServiceSDK.dll
• %User Temp%\7zS49B1BF0A\Resources\WelcomePage.html
• %User Temp%\7zS49B1BF0A\Resources\images\welcome-bg.png
• %User Temp%\7zS49B1BF0A\Resources\FinishPage.tis
• %User Temp%\7zS49B1BF0A\Resources\WelcomePage.tis
• %User Temp%\7zS49B1BF0A\H2OSciter.dll
• %User Temp%\7zS49B1BF0A\Resources\InstallingPage.tis
• %User Temp%\7zS49B1BF0A\Resources\FinishPage.html
• %User Temp%\7zS49B1BF0A\2019.06.24_23.15.44.865227_installer_pid=1680.txt
• %User Temp%\7zS49B1BF0A\Newtonsoft.Json.dll
• %User Temp%\7zS49B1BF0A\DevLib.Services.dll
• %User Temp%\7zS49B1BF0A\HtmlAgilityPack.dll
• %User Temp%\7zS49B1BF0A\sciter32.dll
• %User Temp%\7zS49B1BF0A\DevLib.dll
• %User Temp%\7zS49B1BF0A\GenericSetup.exe
• %User Temp%\7zS49B1BF0A\app.ico

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://flow.{BLOCKED}ft.com/v1/event-stat?ProductID=IS&Type=StubStart
• http://flow.{BLOCKED}ft.com/v1/event-stat?{random characters}
• http://h2oapi.{BLOCKED}e.com

このウイルス情報は、自動解析システムにより作成されました。