PUA.Win32.Imminent.AA

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• %User Temp%\Audio\Audio HD Control\Smart Binder Setup.exe
• %User Temp%\Audio\Audio HD Control\Smart Binder v4.0.exe
• "%User Temp%\is-6G1LM.tmp\Smart Binder Setup.tmp" /SL5="$3016E,614144,119808,%User Temp%\Audio\Audio HD Control\Smart Binder Setup.exe"
• "%User Temp%\Audio\Audio HD Control\Smart Binder v4.0.exe"
• %User Temp%\smart binder v4.0\smart binder v4.0.exe
• cmd.exe /C ping 1.1.1.1 -n 1 -w 1000 > Nul & Del "%User Temp%\Audio\Audio HD Control\Smart Binder v4.0.exe"
• "%User Temp%\smart binder v4.0\smart binder v4.0.exe"
• %System%\PING.EXE ping 1.1.1.1 -n 1 -w 1000

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プログラムは、以下のフォルダを作成します。

• %System Root%\Users
• %System Root%\Smart Binder v4.0
• %User Temp%\smart binder v4.0
• %User Temp%\is-DVI0J.tmp\_isetup
• %Application Data%\Imminent\Logs
• %User Temp%\Audio
• %AppDataLocal%\Smart Binder v4.0
• %Application Data%\Imminent
• %User Profile%\AppData
• %User Temp%\Audio\Audio HD Control

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

自動実行方法

プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Smart Binder v4.0 = "%AppDataLocal%\Smart Binder v4.0\Smart Binder v4.0.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Smart Binder v4.0 = "\Smart Binder v4.0\Smart Binder v4.0.exe"

他のシステム変更

プログラムは、以下のファイルを削除します。

• %User Temp%\smart binder v4.0\smart binder v4.0.exe:Zone.Identifier
• %User Temp%\Audio\Audio HD Control\Smart Binder v4.0.exe:Zone.Identifier

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\xe4\x08\x00\x00\x18\xb4\xc8\x0e\x8fy\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

作成活動

プログラムは、以下のファイルを作成します。

• %Application Data%\Imminent\Logs\03-10-2019
• %User Temp%\Audio\Audio HD Control\Smart Binder Setup.exe
• %AppDataLocal%\Smart Binder v4.0\Smart Binder v4.0.exe
• %User Temp%\Audio\Audio HD Control\Smart Binder v4.0.exe
• %User Temp%\smart binder v4.0\smart binder v4.0.exe
• %User Temp%\is-DVI0J.tmp\_isetup\_shfoldr.dll
• %Application Data%\Imminent\Path.dat
• %System Root%\Smart Binder v4.0\Smart Binder v4.0.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://ninfaaruna.{BLOCKED}u.net
• {BLOCKED}1

このウイルス情報は、自動解析システムにより作成されました。