PUA.Win32.InstallQ.HD

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "{malware file path and name}" /wrapper /dir="%User Temp%\pkg_a227fb0" /pproc="pythonw.exe"
• "%AppDataLocal%Low\cookieman.exe" /mode=read freeze.com

プログラムは、以下のフォルダを作成します。

• %User Temp%\pkg_a227fb0

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のファイルを削除します。

• %AppDataLocal%Low\cookie.dat
• %AppDataLocal%Low\cookie.ini

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\pkg_a227fb0\wrapper.xml
• %User Temp%\pkg_a227fb0\stub.log
• %User Temp%\pkg_a227fb0\stubinfo.ini
• %User Temp%\pkg_a227fb0\timings.txt
• %User Temp%\pkg_a227fb0\{malware file name}.log
• %User Temp%\pkg_a227fb0\autorun.txt
• %User Temp%\pkg_a227fb0\resource.0000.pkg
• %AppDataLocal%Low\cookieman.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://register.{BLOCKED}e.com/postback/V1/landing.aspx
• http://ww38.{BLOCKED}er.freeze.com/postback/V1/landing.aspx
• http://{BLOCKED}gcrew.net/assets/scripts/js3.js
• http://ww38.{BLOCKED}er.freeze.com/track.php?{random characters}
• http://ww38.{BLOCKED}er.freeze.com/ls.php
• http://ww38.{BLOCKED}er.freeze.com/favicon.ico
• http://{BLOCKED}b.com/?{random characters}
• http://{BLOCKED}b.com/px.js?ch=1
• http://{BLOCKED}b.com/px.js?ch=2
• http://i2.{BLOCKED}age.com/__media__/js/min.js?v2.2
• http://{BLOCKED}b.com/sk-logabpstatus.php?{random characters}
• http://i1.{BLOCKED}age.com/__media__/pics/8624/numArrow.gif
• http://i1.{BLOCKED}age.com/__media__/pics/8624/searchIcon.gif
• http://{BLOCKED}b.com/favicon.ico
• http://go.{BLOCKED}oft.com
• http://api.{BLOCKED}g.com
• http://www.{BLOCKED}g.com
• http://installer.{BLOCKED}e.com
• http://katie.{BLOCKED}n.net
• http://s3-eu-west-1.{BLOCKED}aws.com

このウイルス情報は、自動解析システムにより作成されました。