PUA.Win32.PluginManager.E.component

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

• %User Temp%\{Random Characters}.tmp
• %System%\PluginManager
• %Program Files%\SignTool

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プログラムは、以下のファイルを作成します。

• %User Temp%\{Random Characters}.tmp\processwork.dll
• %System%\PluginManager\SignToolSetup.exe
• %System%\PluginManager\PluginSetup.exe
• %System%\PluginManager\Plugin.exe
• %System%\PluginManager\MPlugin.exe
• %System%\PluginManager\uninst.exe
• %User Temp%\{Random Characters}.tmp\ExecCmd.dll
• %Program Files%\SignTool\SignTool.exe
• %Program Files%\SignTool\CTptkcs.dll
• %Program Files%\SignTool\JsDevInfoDll.dll
• %Program Files%\SignTool\libeay32.dll
• %Program Files%\SignTool\libp11.dll
• %Program Files%\SignTool\libcurl.dll
• %Program Files%\SignTool\QRGenerator.dll
• %Program Files%\SignTool\SSLeay32.dll
• %Program Files%\SignTool\help.pdf
• %Program Files%\SignTool\uninst.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プログラムは、以下のプロセスを追加します。

• "%System%\PluginManager\PluginSetup.exe" /S _?=C:\Windows\system32\PluginManager
• %System%\PluginManager\Plugin.exe -i
• %System%\PluginManager\MPlugin.exe -i
• %System%\PluginManager\Plugin.exe -start
• %System%\PluginManager\MPlugin.exe -start
• "%System%\PluginManager\SignToolSetup.exe" /S _?=C:\Windows\system32\PluginManager
• %System%\cmd.exe /C taskkill /F /IM SignTool.exe
• taskkill /F /IM SignTool.exe
• "%Program Files%\SignTool\SignTool.exe"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SignTool = %Program Files%\SignTool\SignTool.exe

他のシステム変更

プログラムは、以下のファイルを削除します。

• %User Temp%\{Random Characters}.tmp
• %User Temp%\{Random Characters}.tmp\processwork.dll
• %User Temp%\{Random Characters}.tmp\ExecCmd.dll
• %System%\PluginManager\PluginSetup.exe
• %System%\PluginManager\SignToolSetup.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
Version = ST.EC.V.1.0.R

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
Path = %Program Files%\SignTool\SignTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
server = http://ec.i-xinnuo.com

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL
port = 54355

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO
signon = {Default}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
SignTool.exe
{Default} = %Program Files%\SignTool\SignTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
DisplayName = ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨ ST.EC.V.1.0.R

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
UninstallString = %Program Files%\SignTool\uninst.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
DisplayIcon = %Program Files%\SignTool\SingTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
DisplayVersion = ST.EC.V.1.0.R

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
URLInfoAbout = http://www.i-xinnuo.com

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨
Publisher = ${PRODUCT_PUBLISHER}

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\eventlog\Application\
Plugin

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\eventlog\Application\
MPlugin

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Plugin.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
²å¼þ¹ÜÀíÈí¼þ

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
SignTool.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ÐÅŵǩµç×ÓºÏͬ·þÎñƽ̨

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL

HKEY_LOCAL_MACHINE\SOFTWARE\IXINNUO\
SIGNTOOL\contract

プログラムは、以下の不正なWebサイトにアクセスします。

• http://ec.{BLOCKED}o.com/e-contract/checkin/first