PUA_ADLOAD.GA

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\nse{random string}.tmp\UserInfo.dll
• %User Temp%\nse{random string}.tmp\System.dll
• %User Temp%\nse{random string}.tmp\inetcw.dll
• %User Temp%\nse{random string}.tmp\dwnldLink
• %User Temp%\nse{random string}.tmp\Installer-75872556.exe
• %User Temp%\{GUID}\Welcome.zip
• %User Temp%\{GUID}\Installation.zip
• %User Temp%\{GUID}\Welcome\img\bottomleft.png
• %User Temp%\{GUID}\Installation\index.html
• %User Temp%\{GUID}\Welcome\img\bottomright.png
• %User Temp%\{GUID}\Welcome\img\check-icon.png
• %User Temp%\{GUID}\Welcome\img\download-logo.png
• %User Temp%\{GUID}\Installation\script.js
• %User Temp%\{GUID}\Welcome\img\green-btn.png
• %User Temp%\{GUID}\Welcome\img\grey-btn.png
• %User Temp%\{GUID}\Welcome\img\installer-bg.jpg
• %User Temp%\{GUID}\Welcome\img\topleft.png
• %User Temp%\{GUID}\Installation\styles.css
• %User Temp%\{GUID}\Welcome\img\topright.png
• %User Temp%\{GUID}\Welcome\img\windows-32x32.png
• %User Temp%\{GUID}\Installation\img\bottomleft.png
• %User Temp%\{GUID}\Welcome\index.html
• %User Temp%\{GUID}\Installation\img\bottomright.png
• %User Temp%\{GUID}\Installation\img\download-logo.png
• %User Temp%\{GUID}\Installation\img\green-btn.png
• %User Temp%\{GUID}\Finish.zip
• %User Temp%\{GUID}\Installation\img\grey-btn.png
• %User Temp%\{GUID}\Welcome\script.js
• %User Temp%\{GUID}\Installation\img\installer-bg.jpg
• %User Temp%\{GUID}\Welcome\styles.css
• %User Temp%\{GUID}\Finish\index.html
• %User Temp%\{GUID}\Finish\script.js
• %User Temp%\{GUID}\Common\jquery.min.js
• %User Temp%\{GUID}\Installation\img\pause-button.png
• %User Temp%\{GUID}\Installation\img\progressbar-left.png
• %User Temp%\{GUID}\Installation\img\progressbar-right.png
• %User Temp%\{GUID}\Installation\img\progressfilled-left.png
• %User Temp%\{GUID}\Installation\img\progressfilled-right.png
• %User Temp%\{GUID}\Finish\styles.css
• %User Temp%\{GUID}\Installation\img\resume-button.png
• %User Temp%\{GUID}\Installation\img\stop-button.png
• %User Temp%\{GUID}\Common\json3.min.js
• %User Temp%\{GUID}\Finish\img\bottomleft.png
• %User Temp%\{GUID}\Common\stats.js
• %User Temp%\{GUID}\Finish\img\bottomright.png
• %User Temp%\{GUID}\Finish\img\download-logo.png
• %User Temp%\{GUID}\Installation\img\topleft.png
• %User Temp%\{GUID}\Installation\img\topright.png
• %User Temp%\{GUID}\Installation\img\windows-32x32.png
• %User Temp%\{GUID}\Finish\img\green-btn.png
• %User Temp%\{GUID}\Finish\img\grey-btn.png
• %User Temp%\{GUID}\Finish\img\installer-bg.jpg
• %User Temp%\{GUID}\Finish\img\topleft.png
• %User Temp%\{GUID}\Finish\img\topright.png
• %User Temp%\{GUID}\Finish\img\windows-32x32.png

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Styles
MaxScriptStatements = 4294967295

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings
JITDebug = 0

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}tall-download.com/advplatform/api.cgi?act=getConfig&appid={value}&pnid={value}&proto={value}
• http://d3cuuzg6zdm61u.{BLOCKED}ront.net/advplatform/1/Welcome.zip
• http://d3cuuzg6zdm61u.{BLOCKED}ront.net/advplatform/1/Installation.zip
• http://d3cuuzg6zdm61u.{BLOCKED}ront.net/advplatform/1/Finish.zip
• http://api.{BLOCKED}t.com/rest/v2.0/software/productDLM?partTag=spigotinstaller&productSetId={value}