PUA.Win32.SlimWare.CH

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

• %AppDataLocal%\slimware utilities inc (Contains settings and configuration files)
• %Program Files%\slimware utilities (Contains installed application and components)
• %Program Files%\driverupdate (Contains installed application and components)

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プログラムは、以下のファイルを作成します。

• %User Temp%\{random characters}.tmp
• %User Temp%\{random characters}.tmp.msi
• %User Temp%\{random characters}.tmp.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

• %Program Files%\DriverUpdate\DriverUpdate.exe -installscan
• %User Temp%\scp250F.tmp.exe SI_LAUNCH=onreboot SI_MODE=toaster SI_DELAY=5 @P2_ORIGIN={random characters}@P2={random characters}@UL_STUBID={stub id}
• %Program Files%\Internet Explorer\iexplore.exe "http://www.{BLOCKED}update.net/scan_results/index.php?lang=en&installer_data={encoded information}&machineId={machine id}&installId={install id}"

自動実行方法

プログラムは、以下のサービスを開始します。

• Name : SlimWareServices
  Image path: %Program Files%\slimware utilities\services\slimware.services.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
DriverUpdate = "%Program Files%\DriverUpdate\DriverUpdate.exe" -boot

ダウンロード活動

プログラムは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://apps-api.{BLOCKED}reutilities.com/install/du/{OS Version}/x86/DriverUpdate-setup.msi.bz2?machineId={machine id}
• http://cdn.{BLOCKED}eaner.com/downloads/scplus/SlimCleanerPlus_en-US_x86_Silent.exe

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\SlimWare Utilities Inc (Contains configuration and information of installed application)

HKEY_CURRENT_USER\Software\SlimWare Utilities Inc (Contains configuration and information of installed application)

プログラムは、以下を実行します。

• It connects to the following URL to send and receive information regarding installation:
  • http://trk.{BLOCKED}reutilities.com/ulc.php?ev={Installer Event}&upl={encoded information}&machineId={machine id}&platformOS={Operating System}&platformOSVersion={OS Version}&installer={installer}&installerVersion={installer version}&product={product version}&msBclVersion={Bcl Version}
  • http://trk.{BLOCKED}reutilities.com/ulc.php?ev={Installer Event}&upl={encoded information}&machineId={machine id}&platformOS={Operating System}&platformOSVersion={OS Version}&installer={installer}&installerVersion={installer version}&product={product version}&installId={install id}&description={description}&result={result}
  • http://trk.{BLOCKED}reutilities.com/ulc.php?ev={Installer Event}&upl={encoded information}&machineId={machine id}&platformOS={Operating System}&platformOSVersion={OS Version}&installer={installer}&installerVersion={installer version}&product={product version}&installId={install id}&errorType={Operating System}DesktopError&errorCode={error code}&page=app-side-error&action={action}
  • https://stc.{BLOCKED}reutilities.com/gettrack?product={product}&p2={random characters}&secondOfferOrigin={random characters}&ul_stubid={stub id}
  • http://trk.{BLOCKED}reutilities.com/ulc.php?ev={Installer Event}&platformOSVersion={OS Version}&secondOfferOrigin={random characters}&ul_stubid={stub id}&p2={random characters}&installer={installer}&product={product}&installerVersion={installer version}&machineId={machine id}&platformOS={Operating System}
  • https://{BLOCKED}re.com/register/driverupdate?lang=en&{Installer Event}={encoded information}&machineId={machine id}&installId={install id}
  • http://{BLOCKED}re.com/purchase/driverupdate?lang=en&{Installer Event}={encoded information}&machineId={machine id}&installId={install id}
  • https://{BLOCKED}re.com/purchase/driverupdate?lang=en&{Installer Event}={encoded information}&machineId={machine id}&installId={install id}
  • http://{BLOCKED}re.com/driverupdate?lang=en&{Installer Event}={encoded information}&machineId={machine id}&installId={install id}
  • https://{BLOCKED}re.com/driverupdate?lang=en&{Installer Event}={encoded information}&machineId={machine id}&installId={install id}
  • http://apps-api.{BLOCKED}reutilities.com/
• It sends the following information regarding installation:
  • Installer event
  • Default browser information (e.g. browser name, browser language)
  • Operating system information (e.g. name, version)

以下のスケジュールされたタスクを追加します：

• Task Name: DriverUpdate
  Task to run: %Program Files%\driverupdate\driverupdate.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)