PUA_MAILRU.GA

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

• %AppDataLocal%\Mail.Ru

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

プログラムは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\Mail.Ru\Sputnik\ptls\mailruhomesearch.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

プログラムは、以下のファイルを作成します。

• %All Users Profile%\Mail.Ru\Id
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk
• %Desktop%\Искать в Интернете.url
• %AppDataLocal%\Mail.Ru\GoMailRu.ico
• %AppDataLocal%\Mail.Ru\Sputnik\MailRu.ico
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{3654EFDD-A46C-4CFC-BA58-A00F1723D1BD}_c
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\metadata
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{3654EFDD-A46C-4CFC-BA58-A00F1723D1BD}\p4273e8235f07a4c6720af0c5e30391cd
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{3654EFDD-A46C-4CFC-BA58-A00F1723D1BD}\p3f74b09470540b97739f3bdde65e75f8
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{3654EFDD-A46C-4CFC-BA58-A00F1723D1BD}\p16d0f0c86e1a9125219bb1c863df0572
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{2A098EFB-0F0A-42D1-ACBD-F56EED080A45}_c
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{2A098EFB-0F0A-42D1-ACBD-F56EED080A45}\p6d2c7cda72cc50d7cd4d37c62f194afa
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{2A098EFB-0F0A-42D1-ACBD-F56EED080A45}\pfe58101a796f702a65f3b942494e7d1b
• %AppDataLocal%\Mail.Ru\Tmp\DeferredTasks\{2A098EFB-0F0A-42D1-ACBD-F56EED080A45}\p87b6ef4d2807d48bd2cd8d0ee8037ba6
• %AppDataLocal%\Mail.Ru\mrkeeper.exe

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
mailruhomesearch = "%AppDataLocal%\Mail.Ru\Sputnik\ptls\mailruhomesearch.exe" --pr_deferred

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech
UserID = {User ID}

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech\ExternalES\ie\
{8E8F97CD-60B5-456F-A201-73065652D099}
(Default) = {JSON data}

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech
avedte = {hex value}

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech\ExternalES\ch\
lhemechcanjmilllmccjbjldonmnnjjj
(Default) = {hex value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
UninstallString = "%AppDataLocal%\Mail.Ru\MailRuUpdater.exe uninstall

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
DisplayName = ?????? ??????????????? ?????????? ????????

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
Publisher = Mail.Ru

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
DisplayIcon = "%AppDataLocal%\Mail.Ru\MailRuUpdater.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
InstallLocation = "%AppDataLocal%\Mail.Ru\MailRuUpdater.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
VersionMajor = 3

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuUpdater
VersionMinor = 14

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
ObjectName = LocalSystem

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech\ptls\{84DC8324-C256-4EF5-B0DC-383B43EE77E9}\
ready_items
waiter = 1

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech\ptls\{C6011285-FAD0-4FF2-9C8F-49B3F1CC564D}
finished_time = {time}

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech\ptls\{4947360E-E26B-4CC9-BB40-F4A30EDCA39E}
runid = 10

HKEY_CURRENT_USER\Software\Mail.Ru\
Tech\ptls\{FC604959-8A01-4E8B-A3E5-87CEEBD6FEDB}
finished_time = {time}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MailRuUpdater = "%AppDataLocal%\Mail.Ru\MailRuUpdater.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
ImagePath = %Program Files%\Mail.Ru\MailRuUpdater\MailRuUpdater.exe --s

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
DisplayName = Updater.Mail.Ru

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Updater.Mail.Ru
Description = ???????????? ?????????? ????????? ???????? Mail.Ru Group (?????? 3.14.0.50)

プログラムは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://{BLOCKED}l.ru/cnt/10445?gp="

(註：変更前の上記レジストリ値は、「{user defined}」となります。)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&bgn={value}&standalone={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&br={value}&sjs_readed={value}&sjs_exists={value}&sjs_check={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&elevated={value}&h_secpref={value}&ch_sync_settings={value}&ch_sync_ext={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&id={value}&event={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&paid_action={value}&paid_browser={value}&br={value}&comp={value}&pay_browser_class={value}&install_browser_class={value}&rfr={value}&br_default={value}&browser_class1={value}&browser_class2={value}&extid={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules={value}&rand={value}&randh={value}&chrome_ud={value}
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&raw={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&success={value}&br={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&target={value}&prog={value}&event={value}&mr_ext={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=
• http://mrds.{BLOCKED}l.ru/update/2/version.txt?type={value}&target={value}&prog={value}&masterid={value}&user_id={value}&osver={value}&osbit={value}&osvernum={value}&ossp={value}&uac={value}&admin={value}&ver={value}&mailru_guard={value}&mailru_updater={value}&comp_mem={value}&tool_mem={value}&elapsed_time={value}&mr_service={value}&os={value}&tool={value}&GUID={value}&common_rfr={value}&install_id={value}&rfr_rules=