PUA_DownGuide

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Temp%\DLG
• %User Temp%\DLG\requirements
• %User Temp%\DLG\initWindow
• %User Temp%\DLG\dlgres
• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\DLG\initWindow\css
• %User Temp%\DLG\loadingImage
• %User Temp%\DLG\ui
• %User Temp%\DLG\ui\common
• %User Temp%\DLG\ui\common\base
• %User Temp%\DLG\ui\common\progress
• %User Temp%\DLG\ui\common\last
• %User Temp%\DLG\ui\offers
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\css
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\img
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\js
• %User Temp%\DLG\ui\common\base\css
• %User Temp%\DLG\ui\common\base\js
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\css
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\img
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\js
• %User Temp%\DLG\ui\common\progress\css
• %User Temp%\DLG\ui\common\progress\img
• %User Temp%\DLG\ui\common\progress\js
• %User Temp%\DLG\ui\common\last\css
• %User Temp%\DLG\ui\common\last\img
• %User Temp%\DLG\ui\common\last\js

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\DLG\test.part
• %User Temp%\DLG\ui\common\base\base.zip.part
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\uifile.zip.part
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\uifile.zip.part
• %User Temp%\DLG\ui\common\progress\progress.zip.part
• %User Temp%\DLG\ui\common\last\last.zip.part

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings
JITDebug = "0"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\DLG1.tmp
• %User Temp%\DLG\dlgres\DLG-Product-Logo.png
• %User Temp%\DLG\initWindow\css\style.css
• %User Temp%\DLG\initWindow\noconnection.html
• %User Temp%\DLG\initWindow\progress.html
• %User Temp%\DLG\loadingImage\loadingImage.bmp
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\index.html
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\css\style.css
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\img\img1.png
• %User Temp%\DLG\ui\offers\d1218f43853f973f710cba676ef66845\js\jquery-1.10.2.min.js
• %User Temp%\DLG\ui\common\base\index.html
• %User Temp%\DLG\ui\common\base\css\style.css
• %User Temp%\DLG\ui\common\base\js\jquery-1.10.2.min.js
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\index.html
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\css\style.css
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\img\img1.png
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\img\progress-bar.png
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\img\progress.png
• %User Temp%\DLG\ui\offers\1522ef138ba104249c3934a80811f825\js\jquery-1.10.2.min.js
• %User Temp%\DLG\ui\common\progress\index.html
• %User Temp%\DLG\ui\common\progress\css\style.css
• %User Temp%\DLG\ui\common\progress\img\151.gif
• %User Temp%\DLG\ui\common\progress\img\bar-bg.png
• %User Temp%\DLG\ui\common\progress\img\bar-lb.png
• %User Temp%\DLG\ui\common\progress\img\bar-rb.png
• %User Temp%\DLG\ui\common\progress\img\br-b.png
• %User Temp%\DLG\ui\common\progress\img\br-bg.png
• %User Temp%\DLG\ui\common\progress\img\br-lb.png
• %User Temp%\DLG\ui\common\progress\img\br-rb.png
• %User Temp%\DLG\ui\common\progress\img\icon.png
• %User Temp%\DLG\ui\common\progress\img\img1.png
• %User Temp%\DLG\ui\common\progress\img\progress-bar.png
• %User Temp%\DLG\ui\common\progress\img\progress.png
• %User Temp%\DLG\ui\common\progress\js\jquery-1.10.2.min.js
• %User Temp%\DLG\ui\common\last\index.html
• %User Temp%\DLG\ui\common\last\css\style.css
• %User Temp%\DLG\ui\common\last\img\img1.png
• %User Temp%\DLG\ui\common\last\js\jquery-1.10.2.min.js

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://dlg-configs.{BLOCKED}n.de
• http://az687722.{BLOCKED}o.msecnd.net/{random path}
• http://dlg-configs.{BLOCKED}n.de/{random path}
• {BLOCKED}0.1
• {BLOCKED}.156.71
• {BLOCKED}81.200
• {BLOCKED}.146.238

このウイルス情報は、自動解析システムにより作成されました。