PUA.Win32.SpeedCat.MANHSAK

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "%User Temp%\is-NBHMT.tmp\{malware file name}.tmp" /SL5="$300AE,2137460,214528,{malware file path and name}"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %AppDataLocal%\PC SpeedCat-Logs
• %User Temp%\is-98U2D.tmp\_isetup
• %User Temp%\is-98U2D.tmp\downloaded
• %User Temp%\is-98U2D.tmp\temporary

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\xec\x08\x00\x00\x0b\xb6\xa5\xa8\xa4\x88\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\is-98U2D.tmp\downfilelist.txt
• %User Temp%\is-98U2D.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-98U2D.tmp\pl_msgs.xml
• %User Temp%\is-98U2D.tmp\ja_msgs.xml
• %User Temp%\is-98U2D.tmp\ko_msgs.xml
• %User Temp%\is-98U2D.tmp\da_msgs.xml
• %User Temp%\is-98U2D.tmp\hu_msgs.xml
• %User Temp%\is-98U2D.tmp\fr_msgs.xml
• %User Temp%\is-98U2D.tmp\preSplashNI.dll
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• %User Temp%\is-98U2D.tmp\header144.bmp
• %User Temp%\is-98U2D.tmp\pcat_widgets_el.xml
• %User Temp%\is-98U2D.tmp\cs_msgs.xml
• %User Temp%\is-98U2D.tmp\bckgndImg.svg
• %User Temp%\is-98U2D.tmp\header120.bmp
• %User Temp%\is-98U2D.tmp\es_msgs.xml
• %User Temp%\is-98U2D.tmp\Parsin.dll
• %User Temp%\is-98U2D.tmp\vanillaicon.ico
• %User Temp%\is-98U2D.tmp\splashstrings.xml
• %User Temp%\is-98U2D.tmp\pcspeedcat.zip
• %User Temp%\is-98U2D.tmp\stubcolors.xml
• %User Temp%\is-98U2D.tmp\tr_msgs.xml
• %User Temp%\is-98U2D.tmp\header96.bmp
• %User Temp%\is-98U2D.tmp\ITSplLite.dll
• %User Temp%\is-98U2D.tmp\zh_msgs.xml
• %User Temp%\is-98U2D.tmp\idp.dll
• %User Temp%\is-98U2D.tmp\left120.bmp
• %User Temp%\is-98U2D.tmp\it_msgs.xml
• %User Temp%\is-98U2D.tmp\ru_msgs.xml
• %User Temp%\is-98U2D.tmp\en_msgs.xml
• %User Temp%\is-98U2D.tmp\hi_msgs.xml
• %User Temp%\is-98U2D.tmp\pcat_widgets_tr.xml
• %User Temp%\is-98U2D.tmp\nb_msgs.xml
• %User Temp%\is-98U2D.tmp\ParsFrms.dll
• %User Temp%\is-98U2D.tmp\splashlogo.svg
• %User Temp%\is-98U2D.tmp\ro_msgs.xml
• %User Temp%\is-98U2D.tmp\no_msgs.xml
• %User Temp%\is-98U2D.tmp\el_msgs.xml
• %User Temp%\is-98U2D.tmp\fi_msgs.xml
• %User Temp%\is-98U2D.tmp\splashgif.gif
• %User Temp%\is-98U2D.tmp\Parscon.dll
• %User Temp%\is-98U2D.tmp\Parsdwn.dll
• %User Temp%\is-98U2D.tmp\left144.bmp
• %User Temp%\is-98U2D.tmp\left96.bmp
• %User Temp%\is-98U2D.tmp\nl_msgs.xml
• %User Temp%\is-98U2D.tmp\bp_msgs.xml
• %User Temp%\is-98U2D.tmp\de_msgs.xml
• %User Temp%\is-98U2D.tmp\sv_msgs.xml
• %AppDataLocal%\PC SpeedCat-Logs\log_it.log
• %User Temp%\is-98U2D.tmp\temporary\setupit.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://vold.{BLOCKED}dcat.com/setupit/genericpayloads/payloadSetup-0527.exe
• http://vold.{BLOCKED}dcat.com/{random path}
• http://access.{BLOCKED}dcat.com/screen.phtml

このウイルス情報は、自動解析システムにより作成されました。