PUA.Win32.PCSpeedCat.K

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "%User Temp%\is-RHEVA.tmp\{malware file name}.tmp" /SL5="$20162,2137460,214528,{malware file path and name}"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %User Temp%\is-F16FS.tmp\_isetup
• %User Temp%\is-F16FS.tmp\temporary
• %User Temp%\is-F16FS.tmp\downloaded
• %AppDataLocal%\PC SpeedCat-Logs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "t\x01\x00\x00\x1e\x85\xb6\x97\x91\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\is-F16FS.tmp\de_msgs.xml
• %User Temp%\is-F16FS.tmp\es_msgs.xml
• %User Temp%\is-F16FS.tmp\preSplashNI.dll
• %User Temp%\is-F16FS.tmp\bp_msgs.xml
• %User Temp%\is-F16FS.tmp\it_msgs.xml
• %User Temp%\is-F16FS.tmp\Parsdwn.dll
• %User Temp%\is-F16FS.tmp\ja_msgs.xml
• %User Temp%\is-F16FS.tmp\fi_msgs.xml
• %User Temp%\is-F16FS.tmp\nb_msgs.xml
• %User Temp%\is-F16FS.tmp\splashlogo.svg
• %User Temp%\is-F16FS.tmp\ru_msgs.xml
• %User Temp%\is-F16FS.tmp\header96.bmp
• %User Temp%\is-F16FS.tmp\header120.bmp
• %User Temp%\is-F16FS.tmp\Parscon.dll
• %User Temp%\is-F16FS.tmp\pcspeedcat.zip
• %User Temp%\is-F16FS.tmp\splashgif.gif
• %AppDataLocal%\PC SpeedCat-Logs\log_it.log
• %User Temp%\is-F16FS.tmp\stubcolors.xml
• %User Temp%\is-F16FS.tmp\no_msgs.xml
• %User Temp%\is-F16FS.tmp\en_msgs.xml
• %User Temp%\is-F16FS.tmp\ParsFrms.dll
• %User Temp%\is-F16FS.tmp\header144.bmp
• %User Temp%\is-F16FS.tmp\vanillaicon.ico
• %User Temp%\is-F16FS.tmp\idp.dll
• %User Temp%\is-F16FS.tmp\da_msgs.xml
• %User Temp%\is-F16FS.tmp\fr_msgs.xml
• %User Temp%\is-F16FS.tmp\nl_msgs.xml
• %User Temp%\is-F16FS.tmp\left96.bmp
• %User Temp%\is-F16FS.tmp\left120.bmp
• %User Temp%\is-F16FS.tmp\splashstrings.xml
• %User Temp%\is-F16FS.tmp\ITSplLite.dll
• %User Temp%\is-F16FS.tmp\sv_msgs.xml
• %User Temp%\is-F16FS.tmp\bckgndImg.svg
• %User Temp%\is-F16FS.tmp\pl_msgs.xml
• %User Temp%\is-F16FS.tmp\_isetup\_shfoldr.dll
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• %User Temp%\is-F16FS.tmp\downfilelist.txt
• %User Temp%\is-F16FS.tmp\Parsin.dll
• %User Temp%\is-F16FS.tmp\zh_msgs.xml
• %User Temp%\is-F16FS.tmp\left144.bmp
• %User Temp%\is-F16FS.tmp\temporary\setupit.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://vold.{BLOCKED}dcat.com/setupit/genericpayloads/payloadSetup-0507.exe
• http://vold.{BLOCKED}dcat.com/{random path}
• http://access.{BLOCKED}dcat.com/screen.phtml

このウイルス情報は、自動解析システムにより作成されました。