PUA.Win32.Convagent.AA

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\nsscc87.tmp\ICommon.dll
• %User Temp%\nsscc87.tmp\System.dll
• %User Temp%\nsscc87.tmp\opt.dll
• %Application Data%\xxtt\Opt.dll
• %Application Data%\xxtt\uninst.exe
• %Application Data%\xxtt\Update.exe
• %Application Data%\xxtt\xxtt.exe
• %Application Data%\Temp.dat
• %Desktop%\{Random Characters}.lnk
• %Programs%\{Random Characters].lnk
• %Programs%\{Random Characters}.lnk

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Programs%フォルダは、ユーザのプログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu\Programs" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs" です。または、Windows Vista、7、8の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs" です。)

プログラムは、以下のプロセスを追加します。

• rundll32.exe "%User Temp%\nsscc87.tmp\ICommon.dll",ITerminateProcess_Rundll32 %Application Data%\xxtt
• rundll32.exe "%Application Data%\xxtt\opt.dll", IRundll32_CustomStat {softType'8',keyUrl:'http://{BLOCKED}s.xiaoxintoutiao.com/'hrdhlktnew/' ,postUrl: 'http://{BLOCKED}s.xiaoxintoutiao.com/iwehjranew/ ',productChannel:",productVersion:'3.0.1903.372}

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\App Paths\
xxt.exe
(Default) = %Application Data%\xxtt\xxtt.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt
(Default) = (value not set)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt
DisplayIcon = %Application Data%\xxtt\xxtt.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt
DisplayName = {Random Characters}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt
DisplayVersion = 3.0.1903.372

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt
Publisher = {Random Characters}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt
UninstallString = %Application Data%\xxtt\uninst.exe

HKEY_CURRENT_USER\Software\xxtt
(Default) = (value not set)

HKEY_CURRENT_USER\Software\xxtt
Channel =

HKEY_CURRENT_USER\Software\xxtt
gdcfg = 246da641b298d1a168f95e3f4f2b056700251795fcd5562546333b7592fbba0289116d5bc16f2623b29

HKEY_CURRENT_USER\Software\xxtt
InstallTime = {Current Date} 12:15:58

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
xxtt = %Application Data%\xxtt\xxtt.exe -mode:3

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 36

プログラムは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\App Paths\
xxtt.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
xxtt

HKEY_CURRENT_USER\Software\xxtt

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}s.xiaoxintoutiao.com