PUA.Win32.Babylon.GE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %Program Files%\Unlocker\UnlockerAssistant.exe
• "%User Temp%\FileUnlocker_Installer.exe" /silent

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\Unlocker
• %Start Menu%\Programs\Unlocker

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnlockerDriver5
ImagePath = "\??\%Program Files%\Unlocker\UnlockerDriver5.sys"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
UnlockerAssistant = "%Program Files%\Unlocker\UnlockerAssistant.exe"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\UnlockerDriver5

他のシステム変更

マルウェアは、以下のフォルダを削除します。

• %User Temp%\nsf8C88.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker

HKEY_CLASSES_ROOT\CLSID\{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}

HKEY_CLASSES_ROOT\CLSID\{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}\
InProcServer32

HKEY_LOCAL_MACHINE\software\classes\
clsid\UnlockerShellExtension

HKEY_CLASSES_ROOT\AllFileSystemObjects\shellex\
ContextMenuHandlers\UnlockerShellExtension

HKEY_CLASSES_ROOT\folder\shellex\
ContextMenuHandlers\UnlockerShellExtension

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\App Paths\
Unlocker.exe

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
Language = "1033"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnlockerDriver5
Type = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
OnlineVersion = "1.9.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}
(Default) = "UnlockerShellExtension"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}\InProcServer32
(Default) = "%Program Files%\Unlocker\UnlockerCOM.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}\InProcServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\UnlockerShellExtension
(Default) = "{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AllFilesystemObjects\shellex\ContextMenuHandlers\
UnlockerShellExtension
(Default) = "{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Folder\ShellEx\ContextMenuHandlers\
UnlockerShellExtension
(Default) = "{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Shell Extensions\
Approved
{DDE4BEEB-DDE6-48fd-8EB5-035C09923F83} = "UnlockerShellExtension"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Unlocker.exe
(Default) = "%Program Files%\Unlocker\Unlocker.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayName = "Unlocker 1.9.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
UninstallString = "%Program Files%\Unlocker\uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayIcon = "%Program Files%\Unlocker\Unlocker.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayVersion = "1.9.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
URLInfoAbout = "http://unlocker.{BLOCKED}oop.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
Publisher = "Cedrick Collomb"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker\OnlineVersion

作成活動

マルウェアは、以下のファイルを作成します。

• %Program Files%\Unlocker\README.TXT
• %Program Files%\Unlocker\UnlockerAssistant.exe
• %Program Files%\Unlocker\UnlockerCOM.dll
• %Program Files%\Unlocker\Unlocker.exe
• %Program Files%\Unlocker\UnlockerDriver5.sys
• %Start Menu%\Programs\Unlocker\Start Unlocker Assistant.lnk
• %Start Menu%\Programs\Unlocker\Website.lnk
• %Program Files%\Unlocker\UnlockerHook.dll
• %Program Files%\Unlocker\Unlocker.url
• %Program Files%\Unlocker\uninst.exe
• %User Temp%\FileUnlocker_Installer.exe
• %Start Menu%\Programs\Unlocker\Start Unlocker.lnk
• %Start Menu%\Programs\Unlocker\README.lnk
• %Start Menu%\Programs\Unlocker\Uninstall.lnk

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}a.com/clients/config/configservice.asmx
• http://crl.{BLOCKED}y.com/gdroot.crl
• http://www.{BLOCKED}ic.com