PUA.Win32.MyWebSearch.SMTB2

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\{Random}.tmp
• %User Temp%\{Random}.tmp\secondary_bg.png
• %User Temp%\{Random}.tmp\secondary_accept.png
• %User Temp%\{Random}.tmp\secondary_decline.png
• %User Temp%\{Random}.tmp\reporting
• %User Temp%\{Random}.tmp\AtoZManauls_msi_bg-copy_{Numbers}.png
• %AppDataLocal%\AtoZManualsTooltab\TooltabExtension.dll
• %Cookies%\(Username)@tb.ask.txt

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Cookies%フォルダは、Internet Explorer（IE）のCookieフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Cookies"" です。Windows Vista、7の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Cookies"" です。Windows 8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\INetCookies" です。)

プログラムは、以下のフォルダを作成します。

• %User Temp%\{Random}.tmp
• %AppDataLocal%\AtoZManualsTooltab

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\AtoZManuals

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
AtoZManualsTooltab Uninstall Internet Explorer

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\AtoZManuals
Start Page = "http://hp.{BLOCKED}y.com/atozmanuaks.ttab02/index.html?n=7851EF9&p2=^CG7^mni000^TTAB02&ptb=DD77F6FD-F327-4DE2-A4CF-4395A1DBDF92&coid=5d6dbdcd6b0c4b1eb76c43e619a42d04"

HKEY_CURRENT_USER\Software\AtoZManuals
UnInstallSurveyUrl = "http://@{downloadDomain}.dl.{BLOCKED}y.com/uninstall.jhtml?surveyUrl=http%3A%2F%2Fwww.research.net%2Fr%2FHYSCVNM%3Fc%3DDD77F6FD-F327-4DE2-A4CF-4395A1DBDF92%26ptb%3D^CG7^mni000^TTAB02"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
AtoZManualsToolstab Uninstall Internet Explorer
DisplayName = "AtoZManuals Internet Explorer Homepage and New Tab"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
AtoZManualsToolstab Uninstall Internet Explorer
HelpLink = "http://support.{BLOCKED}rk.com/"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
AtoZManualsToolstab Uninstall Internet Explorer
Publisher = "Mindspark Interactive Network, Inc."

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
AtoZManualsToolstab Uninstall Internet Explorer
UninstallString = "Rundll32.exe "%AppDataLocal%\AtoZManualsTooltab\TooltabExtension.dll" U uninstall:AtoZManuals"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
AtoZManualsToolstab Uninstall Internet Explorer
URLinfoAbout = "http://support.{BLOCKED}ark.com/"

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://anx.{BLOCKED}ark.com/anx.gif?anxa=CAPDownloadProcess&anxe=Error&errorCode=-16&errorType=nsisError&errorDetails=&platform=vicinio&anxv=2.7.1.3000&anxd=2018-06-12&coid=&refPartner=^CG7^mni000^TTAB02&refSub=&anxl=en-US&anxr=-2088310757&refCobrand=CG7&refCampaign=mni000&refTrack=TTAB02&refCountry=
• http://hp.{BLOCKED}y.com/atozmanuals/ttab02/index.html?n=78581EF9&p2=^CG7^mni000^TTAB02&ptb=DD77F6FD-F327-4DE2-A4CF-4395A1DBDF92&coid=5d6dbdcd6b0c4b1eb76c43e619a42d04
• http://ak.{BLOCKED}gfarm.com/images/webtooltab/assets/logos/CG7.png
• http://hp.{BLOCKED}y.com/atozmanuals/ttab02/assets/1554226210088/ie8.js
• http://hp.{BLOCKED}y.com/atozmanuals/ttab02/assets/1554226210088/app.js
• http://isrg.{BLOCKED}d.ocsp.identrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRv9GhNQxLSSGKBnMArPUcsHYovpgQUxKexpHsscfrb4UuQdf%2FEFWCFiRACEAoBQUIAAAFThXNqC4Xspwg%3D