PUA.Win32.MyPCBackUp.D

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のフォルダを作成します。

• %Program Files%\MyPC Backup\x64
• %Program Files%\MyPC Backup\x86
• %Start Menu%\Programs\MyPC Backup
• %Program Files%\MyPC Backup\log
• %Program Files%\MyPC Backup
• %Program Files%\MyPC Backup\Database

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

プログラムは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BackupStack
ImagePath = "%Program Files%\MyPC Backup\BackupStack.exe"

プログラムは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\MyPC Backup.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\App Paths\
MyPC Backup

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
MyPC Backup
(Default) = "%Program Files%\MyPC Backup\BackupStack.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
DisplayName = "MyPC Backup "

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
UninstallString = "%Program Files%\MyPC Backup\uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
DisplayIcon = "%Program Files%\MyPC Backup\MyPC Backup.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
DisplayVersion = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
URLInfoAbout = "http://www.{BLOCKED}ckup.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
Publisher = "JDi Backup Ltd"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MyPC Backup
HelpLink = "http://support.{BLOCKED}ckup.com"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BackupStack
DisplayName = "Computer Backup (MyPC Backup)"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BackupStack
Start = "SERVICE_AUTO_START"

作成活動

プログラムは、以下のファイルを作成します。

• %Program Files%\MyPC Backup\Service Start.exe
• %Program Files%\MyPC Backup\es_ES.mo
• %Program Files%\MyPC Backup\GetText.dll337.old
• %Program Files%\MyPC Backup\AlphaVSS.52.x64.dll
• %Program Files%\MyPC Backup\Database\mpcb_queues.db
• %Program Files%\MyPC Backup\Database\mpcb_sig_cache.db
• %Start Menu%\Programs\MyPC Backup\Uninstall.lnk
• %Program Files%\MyPC Backup\mypcbackup.ico
• %Program Files%\MyPC Backup\x86\System.Data.SQLite.dll337.old
• %Program Files%\MyPC Backup\RegisterExtensionDotNet20_x86.exe
• %Program Files%\MyPC Backup\MPCBIconOverlays.dll337.old
• %Program Files%\MyPC Backup\RestartExplorer.exe
• %Program Files%\MyPC Backup\x86\System.Data.SQLite.Linq.dll337.old
• %Program Files%\MyPC Backup\log\APPLICATION.log
• %Program Files%\MyPC Backup\AWSSDK.dll
• %Program Files%\MyPC Backup\Shared Stack.dll337.old
• %Program Files%\MyPC Backup\ObjectListView.dll
• %Program Files%\MyPC Backup\GetText.dll
• %Program Files%\MyPC Backup\AlphaVSS.60.x64.dll
• %Program Files%\MyPC Backup\tick.ico
• %Desktop%\MyPC Backup.lnk
• %Program Files%\MyPC Backup\UnRegisterExtensions.exe337.old
• %Program Files%\MyPC Backup\MPCBClient.dll337.old
• %Program Files%\MyPC Backup\AlphaVSS.Common.dll
• %Program Files%\MyPC Backup\it_IT.mo
• %Start Menu%\Programs\MyPC Backup\MyPC Backup.lnk
• %Program Files%\MyPC Backup\Database\mpcb_file_cache.db
• %Program Files%\MyPC Backup\LogicNP.EZShellExtensions.dll337.old
• %Program Files%\MyPC Backup\MyPC Backup.exe
• %Program Files%\MyPC Backup\MPCBClient.dll
• %Program Files%\MyPC Backup\Updater.exe337.old
• %Program Files%\MyPC Backup\ObjectListView.dll337.old
• %Program Files%\MyPC Backup\AlphaVSS.60.x86.dll
• %Program Files%\MyPC Backup\x86\System.Data.SQLite.dll
• %Program Files%\MyPC Backup\Crypto32.dll
• %Program Files%\MyPC Backup\RegisterExtensionDotNet20_x64.exe
• %Program Files%\MyPC Backup\MPCBContextMenu.dll
• %Program Files%\MyPC Backup\Database\mpcb_settings.db
• %Program Files%\MyPC Backup\Signup Wizard.exe337.old
• %Program Files%\MyPC Backup\AlphaVSS.52.x86.dll
• %Program Files%\MyPC Backup\Database\mpcb_backup_conf.db
• %Program Files%\MyPC Backup\Signup Wizard.exe
• %Program Files%\MyPC Backup\AWSSDK.dll337.old
• %Program Files%\MyPC Backup\syncicon.ico
• %Program Files%\MyPC Backup\uninst.exe
• %Program Files%\MyPC Backup\AlphaVSS.51.x86.dll
• %Program Files%\MyPC Backup\de_DE.mo
• %Program Files%\MyPC Backup\UnRegisterExtensions.exe
• %Program Files%\MyPC Backup\MPCBContextMenu.dll337.old
• %Program Files%\MyPC Backup\MyPC Backup.exe337.old
• %Program Files%\MyPC Backup\BackupStack.exe337.old
• %Program Files%\MyPC Backup\x64\System.Data.SQLite.dll337.old
• %Program Files%\MyPC Backup\BackupStack.exe
• %Program Files%\MyPC Backup\fr_FR.mo
• %Program Files%\MyPC Backup\LogicNP.EZShellExtensions.dll
• %Program Files%\MyPC Backup\Updater.exe
• %Program Files%\MyPC Backup\MPCBIconOverlays.dll
• %Program Files%\MyPC Backup\Configuration Updater.exe
• %Program Files%\MyPC Backup\Crypto64.dll
• %Program Files%\MyPC Backup\pt_PT.mo
• %Program Files%\MyPC Backup\x64\System.Data.SQLite.Linq.dll337.old
• %Program Files%\MyPC Backup\Shared Stack.dll
• %Program Files%\MyPC Backup\syncing.ico
• %Program Files%\MyPC Backup\diffstack.dll
• %Program Files%\MyPC Backup\x64\System.Data.SQLite.dll

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://track.{BLOCKED}ckup.com/aadebc4830c51c2794a960fe5a9e11df.php