PUA.WIN32.CONDUIT.GB

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %Application Data%\GetRightToGo\1.data0
• %Application Data%\GetRightToGo\1.data
• %Application Data%\GetRightToGo\1.htm
• %User Profile%\Documents\Downloads\CT2776682_BrotherSoft_Extreme.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

プログラムは、以下のフォルダを作成します。

• %Application Data%\GetRightToGo
• %User Profile%\Documents\Downloads

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

プログラムは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {filename}r3tZSFCn

他のシステム変更

プログラムは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Headlight\
GetRightToGo\CustomizedApps
1 = "1"

HKEY_CURRENT_USER\Software\Headlight\
GetRightToGo\SharedConfig
BusyPause = "15"

HKEY_CURRENT_USER\Software\Headlight\
GetRightToGo\SharedConfig
FileCache = "0"

HKEY_CURRENT_USER\Software\Headlight\
GetRightToGo\SharedConfig
FileCacheKB = "100"

HKEY_CURRENT_USER\Software\Headlight\
GetRightToGo\SharedConfig
Rollback = "0"

HKEY_CURRENT_USER\Software\Headlight\
GetRightToGo\SharedConfig
DotGetRight = "0"

その他

プログラムは、以下を実行します。

• 以下のユーザインターフェイスを表示します。
  
• プログラムの有効期限が切れている場合は以下を表示し、http://www.{BLOCKED}t.com/へ接続します。
  
• 以下のオプションを表示します。
  プログラムは、プロキシを利用する機能を備えています。
  プログラムは、プロキシ設定を変更するために以下を表示します。
  
  • ダウンロードしたファイルを、以下のように保存します。
    %Temporary Internet Files%\Content.IE5\{ランダム}\20100826[1].jpg
  • 以下のURLに接続して、プログラムのユーザインターフェイスに表示する画像をダウンロードします。
    • http://{BLOCKED}g.{BLOCKED}ft.com/softsale/img/20100826.jpg

<補足>
インストール

プログラムは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

{ファイル名}r3tZSFCn