PUA.Win32.RegistryBooster.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• .\rbia.exe /m="%User Temp%\DC86CB~1.QUA" /k=""
• "%System%\taskkill.exe" /F /IM RegistryBooster.exe
• TASKKILL.EXE /F /IM RegistryBooster.exe
• "%System%\taskkill.exe" /F /IM registrybooster.exe
• TASKKILL.EXE /F /IM registrybooster.exe
• "%System%\taskkill.exe" /F /IM rbmoniter.exe
• TASKKILL.EXE /F /IM rbmoniter.exe
• "%System%\taskkill.exe" /F /IM rbnotifier.exe
• TASKKILL.EXE /F /IM rbnotifier.exe
• "%System%\taskkill.exe" /F /IM move_serial.exe
• TASKKILL.EXE /F /IM move_serial.exe
• "%System%\taskkill.exe" /F /IM rb_move_serial.exe
• TASKKILL.EXE /F /IM rb_move_serial.exe
• "%System%\taskkill.exe" /F /IM rb_track_install.exe
• TASKKILL.EXE /F /IM rb_track_install.exe
• %System%\svchost.exe -k netsvcs
• %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• %System%\sc.exe start w32time task_started
• %System%\sdclt.exe /CONFIGNOTIFICATION
• taskhost.exe SYSTEM
• %System%\wsqmcons.exe
• %System%\svchost.exe -k LocalService
• taskhost.exe $(Arg0)
• %System%\schtasks.exe /delete /f /TN "Microsoft\Windows\Customer Experience Improvement Program\Uploader"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

プログラムは、以下のフォルダを作成します。

• %User Temp%\mia1
• %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
• %All Users Profile%\Microsoft\Windows\Sqm\Sessions
• %All Users Profile%\Microsoft\Windows\Sqm\Manifest
• %AppDataLocal%\PackageAware
• %All Users Profile%\Microsoft\Windows\Sqm\Upload

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

プログラムは、以下のファイルを削除します。

• %Windows%\LastGood.Tmp

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Applications\{malware file name}
IsHostApp = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Applications\rbia.exe
IsHostApp = ""

プログラムは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\W32Time
Type = "16"

(註：変更前の上記レジストリ値は、「20」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\W32Time\TimeProviders\
NtpClient
SpecialPollTimeRemaining = "\x00"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

プログラムは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce\
09FF4DB8

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
RunOnce\09FF4DB8

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\UMB\UMB\
1&841921d&0&PrinterBusEnumerator\CustomPropertyHwIdKey

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\mia1\translations.Turkish
• %User Temp%\mia1\translations.Dutch
• %User Temp%\mia1\shared.translations.Portugese (Portugal)
• %User Temp%\mia1\index.Chinese (PRC).htm
• %User Temp%\mia1\translations.Chinese (Taiwan)
• %User Temp%\mia1\translations.Original
• %User Temp%\mia1\shared.translations.Danish
• %User Temp%\mia1\index.htm
• %User Temp%\mia1\shared.translations.Vietnamese
• %User Temp%\mia1\turboweblicense.dfm.miaf
• %User Temp%\mia1\shared.translations.Turkish
• %User Temp%\mia1\confirmuninstallation.dfm.miaf
• %User Temp%\mia1\RegistryBooster.mtx
• %User Temp%\mia1\shared.translations.Portugese (Brazil)
• %User Temp%\mia1\turboweb.dfm
• %User Temp%\mia1\confirmuninstallation.dfm
• %User Temp%\mia1\shared.translations.Norwegian
• %User Temp%\mia1\translations.Finnish
• %User Temp%\mia1\shared.translations.Swedish
• %User Temp%\mia1\shared.translations.Chinese (PRC)
• %User Temp%\mia1\progressprereq.dfm
• %User Temp%\mia1\progress.dfm
• %User Temp%\mia1\index.FRENCH.htm
• %User Temp%\mia1\destination.dfm.miaf
• %User Temp%\mia1\licensecheck.dfm.miaf
• %User Temp%\mia1\index.TURKISH.htm
• %User Temp%\mia1\translations.Norwegian
• %User Temp%\mia1\translations.German
• %User Temp%\mia1\shared.translations.French
• %User Temp%\mia1\translations.Japanese
• %User Temp%\mia1\turboweblicense.dfm
• %User Temp%\mia1\shared.translations.Finnish
• %User Temp%\mia1\shared.translations.Chinese (Taiwan)
• %User Temp%\mia1\translations.Danish
• %User Temp%\mia1\index.ENGLISH.htm
• %User Temp%\mia1\shared.translations.Russian
• %User Temp%\mia1\destination.dfm
• %User Temp%\mia1\shared.translations.Spanish
• %User Temp%\mia1\startinstallation.dfm.miaf
• %User Temp%\mia1\translations.Polish
• %User Temp%\mia1\translations.Greek
• %User Temp%\mia1\shared.translations.Polish
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
• %User Temp%\mia1\index.SPANISH.htm
• %User Temp%\mia1\index.DANISH.htm
• %User Temp%\mia1\index.POLISH.htm
• %User Temp%\mia1\licensecheck.dfm
• %User Temp%\mia1\uninstallationfinish.dfm
• %User Temp%\mia1\translations.Chinese (PRC)
• %User Temp%\mia1\index.FINNISH.htm
• %User Temp%\mia1\progress.dfm.miaf
• %User Temp%\mia1\translations.Hebrew
• %User Temp%\mia1\shared.translations.Italian
• %User Temp%\mia1\rbia.msp
• %User Temp%\mia1\mMSIExec.dll
• %User Temp%\mia1\shared.translations.Japanese
• %User Temp%\mia1\icon.ico
• %User Temp%\mia1\index.GERMAN.htm
• %User Temp%\mia1\uninstallationprogress.dfm.miaf
• %User Temp%\mia1\shared.translations.German
• %User Temp%\mia1\uninstallationfinish.dfm.miaf
• %User Temp%\mia1\shared.translations.Greek
• %User Temp%\mia1\index.PORTUGESE (PORTUGAL).htm
• %User Temp%\mia1\translations.Russian
• %User Temp%\mia1\index.ITALIAN.htm
• %User Temp%\mia1\welcome.dfm.miaf
• %User Temp%\mia1\uninstallationprogress.dfm
• %User Temp%\mia1\shared.translations.Hebrew
• %User Temp%\mia1\shared.translations.Map
• %User Temp%\mia1\cache.dll
• %User Temp%\mia1\shared.translations.English
• %User Temp%\mia1\shared.translations.Dutch
• %User Temp%\mia1\VldDrvEXEPlug.dll
• %User Temp%\mia1\translations.Swedish
• %User Temp%\mia1\translations.Spanish
• %User Temp%\mia1\turboweb.dfm.miaf
• %User Temp%\mia1\index.Chinese (Taiwan).htm
• %User Temp%\mia1\shared.translations.Original
• %User Temp%\mia1\index.NORWEGIAN.htm
• %User Temp%\mia1\translations.Italian
• %User Temp%\mia1\translations.Portugese (Portugal)
• %User Temp%\mia1\index.DUTCH.htm
• %User Temp%\mia1\welcome.dfm
• %User Temp%\mia1\flash.ocx
• %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
• %User Temp%\mia1\index.Portugese (Brazil).htm
• %User Temp%\mia1\mEXEFunc.dll
• %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec
• %User Temp%\mia1\index.RUSSIAN.htm
• %User Temp%\mia1\translations.English
• %User Temp%\mia1\startinstallation.dfm
• %User Temp%\mia1\rbia.msi
• %User Temp%\mia1\index.SWEDISH.htm
• %User Temp%\mia1\translations.Vietnamese
• %User Temp%\mia1\index.GREEK.htm
• %User Temp%\mia1\index.JAPANESE.htm
• %User Temp%\mia1\translations.Map
• %User Temp%\mia1\progressprereq.dfm.miaf
• %User Temp%\mia1\translations.Portugese (Brazil)
• %User Temp%\lang.loc
• %User Temp%\mia1\Uniblue RegistryBooster.mtx
• %User Temp%\mia1\translations.French

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

このウイルス情報は、自動解析システムにより作成されました。