PUA.Win32.OneStep.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%Program Files%\FILESU~1\OSWDVA~1.EXE" /s
• %Program Files%\filesubmit\oswdvaz118.exe /s
• "%Program Files%\FILESU~1\DEALIO~1.EXE" /S /V"/qn CHANNEL_ID=980496" /UM"http://www.{BLOCKED}o.com/vkits/dlv1/980496/Dealio Toolbar.msi"
• %Program Files%\filesubmit\DealioKit1-stub-0.exe /S /V"/qn CHANNEL_ID=980496" /UM"http://www.{BLOCKED}o.com/vkits/dlv1/980496/Dealio Toolbar.msi"
• "%System%\RKINST~1.EXE" -%System Root%170 /s
• %System%\rkinstaller.exe -%System Root%170 /s
• "%Program Files%\FILESU~1\VVSNInst.exe" /cfg:EZTH120601 /s
• %Program Files%\filesubmit\VVSNInst.exe /cfg:EZTH120601 /s
• http://home.{BLOCKED}es.com/home/
• %Program Files%\filesubmit\gingerbreadzcr.zip\gingerbreadzcr.zip
• %User Temp%\OSWAF32.tmp\OSWDVA~1.EXE -p oswdvaz118 /S /s
• %User Temp%\OSWAF70.tmp\OSWDVA~1.EXE -p ONESTEP118 -p oswdvaz118 /S /s
• "%User Temp%\nsiB01F.tmp\onestep.exe" "%User Temp%\nsiB01F.tmp\onestep.dll" Install "0 oswdvaz118"
• "%Program Files%\OneStepSearch\onestep.exe" "%Program Files%\OneStepSearch\onestep.dll" Service
• %System%\msiexec.exe /V
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• %System%\svchost.exe -k WerSvcGroup
• %System%\svchost.exe -k LocalSystemNetworkRestricted
• %System%\svchost.exe -k LocalServiceNetworkRestricted
• %System%\svchost.exe -k netsvcs
• "%Program Files%\OneStepSearch\onestep.exe" "%Program Files%\OneStepSearch\onestep.dll" Main
• MSIEXEC.EXE /i "%User Temp%\_isC6C7\Dealio Toolbar.msi" /qn CHANNEL_ID=980496 SETUPEXEDIR="%Program Files%\FILESU~1"
• %Program Files%\VVSN\VVSN.exe /cfg:EZTH120601 /s
• "%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:3092 CREDAT:275457 /prefetch:2
• %System%\WerFault.exe -u -p 960 -s 2896
• %System%\WerFault.exe -u -p 1968 -s 212
• %System%\WerFault.exe -u -p 888 -s 1880
• %System%\WerFault.exe -u -p 888 -s 1872
• %System%\WerFault.exe -u -p 888 -s 1884
• %System%\WerFault.exe -u -p 888 -s 1868
• %System%\WerFault.exe -u -p 888 -s 1864
• %System%\WerFault.exe -u -p 852 -s 516
• %System%\WerFault.exe -u -p 888 -s 1860
• %System%\WerFault.exe -u -p 2912 -s 176
• %System%\WerFault.exe -u -p 2912 -s 180
• %System%\WerFault.exe -u -p 1320 -s 180
• %System%\WerFault.exe -u -p 1320 -s 176
• %System%\WerFault.exe -u -p 1600 -s 1232
• %System%\WerFault.exe -u -p 1416 -s 1232

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
• %User Temp%\8D8.WUT
• %Application Data%\Microsoft\Windows\IECompatUACache
• %Program Files%\OneStepSearch
• %Program Files%\filesubmit
• %Application Data%\Microsoft\Windows\IECompatCache
• %User Profile%\AppData
• %Program Files%\VVSN\URL1
• %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
• %Application Data%\Microsoft\Windows\PrivacIE
• %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
• %User Temp%\_isC6C7
• %Program Files%\VVSN
• %Application Data%\Microsoft\Windows\DNTException
• %System Root%\Users
• %Program Files%\filesubmit\gingerbreadzcr.zip
• %Start Menu%\Programs\filesubmit

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OneStep Search Service
ImagePath = "{random characters}"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
Del41 = "cmd /c del %Windows%\SysWOW64\RKINST~1.EXE"

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %Program Files%\VVSN\SET8B76.tmp

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下のファイルを削除します。

• %User Temp%\VVSN.exe
• %AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico
• %Program Files%\filesubmit\gingerbreadzcr.zip\gingerbreadzcr.zip
• %Program Files%\filesubmit\gingerbreadzcr.zip\UNWISE.EXE
• %Program Files%\filesubmit\gingerbreadzcr.zip\fsi_uninstall.ico
• %Windows%\LastGood.Tmp
• %Program Files%\filesubmit\oswdvaz118.exe
• %Program Files%\VVSN\vsn.cfg
• %Program Files%\VVSN\vsn.cab
• %Program Files%\filesubmit\DealioKit1-stub-0.exe
• %Program Files%\filesubmit\H\xef\xbe\x84\x1ft2\xef\xbf\x8a\xef\xbe\x9d(\xef\xbf\xb6\xef\xbf\xbfwtN&@
• %Program Files%\filesubmit\VVSNInst.exe
• %User Temp%\nsiB01F.tmp
• %Program Files%\filesubmit\gingerbreadzcr.zip\fsi_install.ico
• %System%\rkinstaller.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを削除します。

• %User Temp%\nsiAFD0.tmp
• %User Temp%\nsiB01F.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\gingerbreadzcr.zip
DisplayName = "gingerbreadzcr.zip"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\gingerbreadzcr.zip
UninstallString = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
TempInstallDir = "%Program Files%\OneStepSearch"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\OneStepSearch
DisplayName = "OneStep Search 1.0 build 118"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\OneStepSearch
UninstallString = "%Program Files%\OneStepSearch\uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Primary = "29985"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
DllPath = "%Program Files%\OneStepSearch\onestep.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Version = "65554"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Partner = "oswdvaz118"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Src = "onestep"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Initial = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
ShowToolbarButton = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
ShowBarSign = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\SearchScopes\
{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
DisplayName = "OneStep Search"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\SearchScopes\
{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
URL = "http://www.{BLOCKED}psearch.net/?prt=oswdvaz118&keywords={searchTerms}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
UpdateTimeH = "30761792"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
UpdateTimeL = "36341932"

HKEY_LOCAL_MACHINE\SYSTEM\Setup\
SetupapiLogStatus
setupapi.app.log = "4096"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
VVSN = "%Program Files%\VVSN\VVSN.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\NetworkList\
Nla\Cache\Intranet
{89BCDCB3-5725-45A2-94AB-2D6B641209B0} = "\x00PV\xbc\x0f"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
cval = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OneStep Search Service
DisplayName = "OneStep Search Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OneStep Search Service
Start = "SERVICE_AUTO_START"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch\TempInstallDir

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch\FXInstalled

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run\ISSetup

作成活動

マルウェアは、以下のファイルを作成します。

• %Program Files%\filesubmit\gingerbreadzcr.zip\~GLH000a.TMP
• %System%\~GLH0007.TMP
• %Program Files%\filesubmit\~GLH0008.TMP
• %Program Files%\OneStepSearch\onestep.dll
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
• %User Temp%\_isC6C7\_ISMSIDEL.INI
• %Program Files%\VVSN\SET8B76.tmp
• %Program Files%\OneStepSearch\uninstall.exe
• %Program Files%\OneStepSearch\readme.html
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit\Uninstall gingerbreadzcr.zip.lnk
• %System%\GLBSINST.%$D
• %Program Files%\OneStepSearch\onestep.exe
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{7D60D00F-CDE8-11E9-91F5-005056BC4DBC}.dat
• %User Temp%\_isC6C7\Dealio Toolbar.msi
• %Windows%\Temp\temp.xpi
• %User Temp%\_isC6C7\Setup.INI
• %Program Files%\filesubmit\~GLH0004.TMP
• %Program Files%\VVSN\URL1\vsn.cfg
• %User Temp%\_MSI5166._IS
• %Program Files%\filesubmit\~GLH0006.TMP
• %Program Files%\filesubmit\gingerbreadzcr.zip\UNWISE.INI
• %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{7D60D011-CDE8-11E9-91F5-005056BC4DBC}.dat
• %Program Files%\filesubmit\gingerbreadzcr.zip\~GLH0005.TMP
• %Program Files%\OneStepSearch\home.js
• %User Temp%\_isC6C7\0x0409.ini
• %User Temp%\8D8.WUT\vvsn.cab
• %Program Files%\OneStepSearch\osopt.exe
• %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
• %Program Files%\VVSN\vvsn.cfg
• %Program Files%\filesubmit\gingerbreadzcr.zip\~GLH0009.TMP
• %Windows%\inf\setupapi.app.log
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{84C05BE8-CDE8-11E9-91F5-005056BC4DBC}.dat
• %User Temp%\8D8.WUT\whenu.inf
• %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
• %Program Files%\VVSN\SET8B87.tmp
• %Program Files%\filesubmit\gingerbreadzcr.zip\~GLH000b.TMP
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit\Install gingerbreadzcr.zip.lnk
• %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}o.com/vkits/dlv1/980496/Dealio%20Toolbar.msi
• http://www.{BLOCKED}ntknowledge.com/campaignstatus.aspx?campaign_id=170
• http://www.{BLOCKED}ntknowledge.com/ErrorPage.aspx?{random characters}
• http://home.{BLOCKED}es.com/home
• http://app.{BLOCKED}u.com
• http://spweb.{BLOCKED}u.com
• http://go.{BLOCKED}oft.com
• http://www.{BLOCKED}es.com
• http://upgrade.{BLOCKED}psearch.net
• http://api.{BLOCKED}g.com
• http://www.{BLOCKED}g.com
• http://sqm.{BLOCKED}try.microsoft.com
• http://ieonline.{BLOCKED}oft.com
• {BLOCKED}8.80.136

このウイルス情報は、自動解析システムにより作成されました。