PUA.Win32.PCHealthBoost.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "%User Temp%\is-0KCV6.tmp\{malware file name}.tmp" /SL5="$30160,2619865,78848,{malware file path and name}"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %User Temp%\is-P69LD.tmp\_isetup
• %User Temp%\is-P69LD.tmp\temporary
• %User Temp%\is-P69LD.tmp\downloaded

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\xfc\x0b\x00\x00h\x9e\x14b\x8f\x8c\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\is-P69LD.tmp\pchb-back-96.bmp
• %User Temp%\is-P69LD.tmp\idp.dll
• %User Temp%\is-P69LD.tmp\LookInto.dll
• %User Temp%\is-P69LD.tmp\ConnectUtils.dll
• %User Temp%\is-P69LD.tmp\bh96.bmp
• %User Temp%\is-P69LD.tmp\SchedE.dll
• %User Temp%\is-P69LD.tmp\execctrl.dll
• %User Temp%\is-P69LD.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-P69LD.tmp\temporary\PCHealthBoost-Setup.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://cdn.{BLOCKED}oftware.com/boa/514/pchb305-514R6R.exe
• http://s3-us-west-2.{BLOCKED}aws.com

このウイルス情報は、自動解析システムにより作成されました。