PUA.Win32.SpeedCat.MANHSAT

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• "%User Temp%\is-RUG8C.tmp\{malware file name}.tmp" /SL5="$20172,2137460,214528,{malware file path and name}"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %AppDataLocal%\PC SpeedCat-Logs
• %User Temp%\is-39A9O.tmp\temporary
• %User Temp%\is-39A9O.tmp\_isetup
• %User Temp%\is-39A9O.tmp\downloaded

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\x00\x00j\x9c\xb2y\xf2\x8e\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

作成活動

プログラムは、以下のファイルを作成します。

• %User Temp%\is-39A9O.tmp\de_msgs.xml
• %User Temp%\is-39A9O.tmp\nl_msgs.xml
• %User Temp%\is-39A9O.tmp\pl_msgs.xml
• %User Temp%\is-39A9O.tmp\no_msgs.xml
• %User Temp%\is-39A9O.tmp\stubcolors.xml
• %User Temp%\is-39A9O.tmp\left144.bmp
• %User Temp%\is-39A9O.tmp\vanillaicon.ico
• %User Temp%\is-39A9O.tmp\header144.bmp
• %User Temp%\is-39A9O.tmp\zh_msgs.xml
• %User Temp%\is-39A9O.tmp\splashgif.gif
• %User Temp%\is-39A9O.tmp\downfilelist.txt
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• %User Temp%\is-39A9O.tmp\it_msgs.xml
• %User Temp%\is-39A9O.tmp\bckgndImg.svg
• %User Temp%\is-39A9O.tmp\da_msgs.xml
• %User Temp%\is-39A9O.tmp\nb_msgs.xml
• %User Temp%\is-39A9O.tmp\splashlogo.svg
• %User Temp%\is-39A9O.tmp\left96.bmp
• %User Temp%\is-39A9O.tmp\Parsdwn.dll
• %User Temp%\is-39A9O.tmp\splashstrings.xml
• %User Temp%\is-39A9O.tmp\preSplashNI.dll
• %User Temp%\is-39A9O.tmp\left120.bmp
• %User Temp%\is-39A9O.tmp\ITSplLite.dll
• %User Temp%\is-39A9O.tmp\pcspeedcat.zip
• %User Temp%\is-39A9O.tmp\es_msgs.xml
• %User Temp%\is-39A9O.tmp\ru_msgs.xml
• %User Temp%\is-39A9O.tmp\ja_msgs.xml
• %User Temp%\is-39A9O.tmp\ParsFrms.dll
• %User Temp%\is-39A9O.tmp\header96.bmp
• %User Temp%\is-39A9O.tmp\bp_msgs.xml
• %User Temp%\is-39A9O.tmp\Parscon.dll
• %User Temp%\is-39A9O.tmp\header120.bmp
• %User Temp%\is-39A9O.tmp\fr_msgs.xml
• %User Temp%\is-39A9O.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-39A9O.tmp\Parsin.dll
• %User Temp%\is-39A9O.tmp\sv_msgs.xml
• %User Temp%\is-39A9O.tmp\fi_msgs.xml
• %User Temp%\is-39A9O.tmp\en_msgs.xml
• %AppDataLocal%\PC SpeedCat-Logs\log_it.log
• %User Temp%\is-39A9O.tmp\idp.dll
• %User Temp%\is-39A9O.tmp\temporary\setupit.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://vold.{BLOCKED}dcat.com/setupit/genericpayloads/payloadSetup-0507.exe
• http://vold.{BLOCKED}dcat.com/{random path}
• http://access.{BLOCKED}dcat.com/screen.phtml

このウイルス情報は、自動解析システムにより作成されました。