PUA.Win64.Gramblr.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Program Files\Gramblr\gramblr.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• %System Root%\Program Files\Gramblr\gramblr.exe
• %System%\svchost.exe -k WerSvcGroup
• %System%\WerFault.exe -u -p 2348 -s 472
• %System%\WerFault.exe -u -p 1564 -s 600
• "%System%\wermgr.exe" "-queuereporting_svc" "%All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7"

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7
• %All Users Profile%\Gramblr
• %System Root%\Program Files\Gramblr

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\gramblrclient
DisplayName = "Windows Connectivity Manager for Gramblr"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\gramblrclient
ImagePath = "%System Root%\Program Files\Gramblr\gramblr.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\gramblrclient
Start = "SERVICE_AUTO_START"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
DisplayIcon = "%System Root%\Program Files\Gramblr\gramblr.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
DisplayName = "Gramblr"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
DisplayVersion = "2.9.188"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
InstallLocation = "%System Root%\Program Files\Gramblr"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
Language = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
Publisher = "Gramblr Team"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
UninstallString = "%System Root%\Program Files\Gramblr\gramblr.exe --uninstall"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
VersionMajor = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
VersionMinor = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
EstimatedSize = "6800"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Gramblr
UrlInfoAbout = "http://{BLOCKED}r.com"

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\Temp\etilqs_2xSnNHJSXW4EqRh
• %All Users Profile%\Gramblr\gramblr.db
• %Windows%\Temp\WERF730.tmp.WERInternalMetadata.xml
• %Windows%\Temp\etilqs_eKjXeJ1OOgjXbkz
• %Windows%\Temp\etilqs_X1TafUakdYMWeaz
• %Windows%\Temp\etilqs_QCBYaru3QmjUCsE
• %Windows%\Temp\etilqs_l7rte0sbP6juHoq
• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7\WERF750.tmp.hdmp
• %Windows%\Temp\WER849.tmp.mdmp
• %User Temp%\etilqs_CubLD2VJDUmcCMX
• %User Temp%\etilqs_6FkRHLpbIqXuO2h
• %User Temp%\etilqs_NWMgW0SQSNjjM2w
• %All Users Profile%\Gramblr\gramblr.db-journal
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Gramblr.lnk
• %Windows%\Temp\WERF750.tmp.hdmp
• %Windows%\Temp\WERF750.tmp
• %Windows%\Temp\WERF730.tmp
• %All Users Profile%\Gramblr\sessions.db-journal
• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7\Report.wer
• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7\WER849.tmp.mdmp
• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7\WERF730.tmp.WERInternalMetadata.xml
• %Windows%\Temp\WERF450.tmp
• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7\Report.wer.tmp
• %All Users Profile%\Gramblr\sessions.db
• %Windows%\Temp\WERF450.tmp.appcompat.txt
• %Windows%\Temp\etilqs_Up5CiGbJdTd2iN0
• %Windows%\Temp\WER849.tmp
• %All Users Profile%\Microsoft\Windows\WER\ReportQueue\AppCrash_gramblr.exe_0a0f923e19e3df513a5daa733d1dba2a08ac90_cab_0b3f9cd7\WERF450.tmp.appcompat.txt
• %All Users Profile%\Gramblr\runtime.log

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)