PUA.Win32.OfferInstall.G

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

プログラムは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\is-{Random Characters}.tmp\{Malware Name}.tmp → deleted afterwards
• %User Temp%\is-{Random Characters}.tmp\file_.tmp → deleted afterwards
• %User Temp%\is-{Random Characters}.tmp\botva2.dll → deleted afterwards
• %User Temp%\is-{Random Characters}.tmp\Helper.dll → deleted afterwards
• %User Temp%\is-{Random Characters}.tmp\file_.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

• "%User Temp\is-{Random Characters}.tmp\OFFERINSTALL.tmp" /SL5="$150588,832512,832512,{Malware Filename}"
• "%User Temp\is-{Random Characters}.tmp\file_.exe" /LANG=en /NA=Rh85hR64
• "%User Temp\is-{Random Characters}.tmp\file_.tmp" /SL5="$4305C6,1611420,832512,%User Temp%\is-{Random Characters}.tmp\file_.exe" /LANG=en /NA=Rh85hR64

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %User Temp%\is-{Random Characters}.tmp\_isetup

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

その他

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

• https://dy5wf71dvafjw.{BLOCKED}ront.net/installer/9483728320140705247/062028
• https://server-99-84-192-220.lax3.r.{BLOCKED}ront.net

プログラムは、以下を実行します。

• It opens a GUI prompting the user to choose one of the following languages for installation:
  • Čeština (Czech)
  • Dansk (Danish)
  • Deutsch (German)
  • English
  • Español (Spanish)
  • Français (French)
  • Italiano (Italian)
  • Nederlands (Dutch)
  • Norsk (Norwegian)
  • Polski (Polish)
  • Português Brasileiro (Brazilian Portuguese)
  • Suomi (Finnish)
  • Türkçe (Turkish)
  • Русский (Russian)
  
• It displays a GUI showing the progress of the installation:
  
• It displays the following message box if the malware fails to install:
  

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、脆弱性を利用した感染活動を行いません。