PUA.Win32.Bundler.SS

2020年1月23日

別名:

InstallCore (fs) (Sunbelt)

プラットフォーム:

Windows

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ:
潜在的に迷惑なアプリケーション
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 640,864 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年1月23日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

%System%\regsvr32.exe /s %System%\jscript.dll
"{malware file path and name}" /_ShowProgress
%System%\regsvr32.exe /s %System%\mshtml.dll
%System%\regsvr32.exe /s %System%\shdocvw.dll
%System%\regsvr32.exe /s %System%\ieframe.dll
%System%\regsvr32.exe /s %System%\mshtmled.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

%User Temp%\is1244477948
%User Temp%\ish24046925\sdk
%User Temp%\ish24050466
%User Temp%\ish24046925\css\sdk-ui\images
%User Temp%\ish24046925\locale
%User Temp%\ish24046925\css
%User Temp%\ish24050466\css\sdk-ui
%User Temp%\ish24050466\locale
%User Temp%\ish24046925\css\sdk-ui
%User Temp%\ish24046925
%User Temp%\ish24050466\images
%User Temp%\ish24050466\css\sdk-ui\images
%User Temp%\ish24050466\css
%User Temp%\ish24046925\images
%User Temp%\ish24050466\sdk

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Shell Extensions\
Cached
{random string} = "\x01\x00\x00\x00\x00\x00\x00\x00\xbb\xf9\x8e\xecbr\xd5\x01"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
(Default) = "%System%\jscript.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
ThreadingModel = "Both"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JavaScript1.2 AuthorJavaScript1.3 Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JavaScript1.2 AuthorJavaScript1.3 Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ECMAScript Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ECMAScript Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript Author"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language Encoding"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript.Encode"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact
(Default) = "JScript Compact Profile (ECMA 327)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Compact Profile (ECMA 327)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript.Compact"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "HtmlDlgHelper Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "HtmlDlgHelper.HtmlDlgHelper.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
VersionIndependentProgID
(Default) = "HtmlDlgHelper.HtmlDlgHelper"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
(Default) = "%System%\mshtmled.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ToolboxBitmap32
(Default) = "%System%\mshtmled.dll, 1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
MiscStatus
(Default) = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
MiscStatus\1
(Default) = "131473"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
TypeLib
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
Version
(Default) = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "HtmlDlgSafeHelper Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "HtmlDlgSafeHelper.HtmlDlgSafeHelper.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
VersionIndependentProgID
(Default) = "HtmlDlgSafeHelper.HtmlDlgSafeHelper"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
Version
(Default) = "1.1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript
(Default) = "JScript Language"