PUA.Win32.FlashServ.U

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %System%\Macromed\Flash\flashupdater.cfg

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プログラムは、以下のフォルダを作成します。

• %System%\Macromed

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

プログラムは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet|ControlSet001}\
services\Flash Helper Service
ImagePath = {Malware path and name}

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\miniconfig
guid = {9BC39906-31C7-48e4-86D5-85DEF04CD690}

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashHelper
ueip = {number}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\miniconfig
ueip = {number}

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashHelper
active = {Current Date}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\{B9020634-CE8F-4F09-9FBC-D108A73A4676}
LocalService = Flash Helper

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\miniconfig
open_mini_time = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\miniconfig
mini_count = {value}

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia

HKEY_LOCAL_MACHINE\SOFTWARE\Macromedia\
FlashHelper

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\miniconfig

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
miniconfig

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\{B9020634-CE8F-4F09-9FBC-D108A73A4676}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
FlashCenter

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

• https://api.{BLOCKED}h.cn/config/powerBoot?rc={value}&helper=2.3.0.73&
• https://api.{BLOCKED}h.cn/config/getBin?helper=2.3.0.73&key={value}
• https://tongji.{BLOCKED}h.cn/hm2.gif?msgtype=helperdata={Hex values}&token={Hex values}&time={Hex values}
• https:/tongji.{BLOCKED}h.cn/hm4.gif?product=hs&event=fcad&uid={ID}&um={Hex values}&platform={platform}&channel={value}&version={app version}&signature={Hex values}&key={value}&data={Hex values}

プログラムは、以下を実行します。

• It listens on the following ports:
  • 21440
  • 21441

マルウェアは、以下のパラメータを受け取ります。

• /install - registers itself as a service
• /start - starts registered service
• /uninstall - deletes registered service

＜補足＞

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

• https://api.{BLOCKED}h.cn/config/powerBoot?rc={値}&helper=2.3.0.73&
• https://api.{BLOCKED}h.cn/config/getBin?helper=2.3.0.73&key={値}
• https://tongji.{BLOCKED}h.cn/hm2.gif?msgtype=helperdata={ 16進数値}&token={ 16進数値}&time={ 16進数値}
• https:/tongji.{BLOCKED}h.cn/hm4.gif?product=hs&event=fcad&uid={ID}&um={ 16進数値}&platform={プラットフォーム}&channel={値}&version={アプリのバージョン}&signature={ 16進数値}&key={値}&data={ 16進数値}

プログラムは、以下を実行します。

• 以下のポートをリッスンする：
  • 21440
  • 21441

マルウェアは、以下のパラメータを受け取ります。

• /install - 自身をサービスとして登録する
• /start -登録したサービスを開始する
• /uninstall -登録したサービスを削除する