PUA_PCONVERTER.GA

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、特定のWebサイトにアクセスします。ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %AppDataLocal%\PConverterTooltab\TooltabExtension.dll

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\PConverter

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
PConverterTooltab Uninstall Internet Explorer

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\PConverter
Start Page = http://hp.myway.com/pconverter/LMFRFR/index.html?{string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
PConverterTooltab Uninstall Internet Explorer
DisplayName = PConverter Internet Explorer Homepage and New Tab

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
PConverterTooltab Uninstall Internet Explorer
UninstallString = Rundll32.exe "%AppDataLocal%\PConverterTooltab\TooltabExtension.dll" U uninstall:PConverter

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
PConverterTooltab Uninstall Internet Explorer
Publisher = Mindspark Interactive Network, Inc.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
PConverterTooltab Uninstall Internet Explorer
HelpLink = http://support.mindspark.com/

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
PConverterTooltab Uninstall Internet Explorer
URLInfoAbout = http://support.mindspark.com/

HKEY_CURRENT_USER\Software\PConverter
UnInstallSurveyUrl = http://www.research.net/r/HYSCVNM?{string}

プログラムは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = http://hp.myway.com/pconverter/LMFRFR/index.html?{string}

(註：変更前の上記レジストリ値は、「{user preference}」となります。)

アドウェア活動

プログラムは、以下のWebサイトにアクセスして感染コンピュータ上に広告を表示します。

• http://anx.mindspark.com/anx.gif?{string}

その他

プログラムは、特定のWebサイトにアクセスします。ただし、情報公開日現在、このWebサイトにはアクセスできません。

プログラムは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.197.200:80 (United States)
• {BLOCKED.{BLOCKED}.135.9:80 (United States)
• {BLOCKED}.{BLOCKED}.28.251:443 (United States)
• {BLOCKED}.{BLOCKED}.233.64:443 (United States)
• {BLOCKED}.{BLOCKED}.135.11:80 (United States)
• {BLOCKED}.{BLOCKED}.237.29:80 (Asia/Pacific Region)
• {BLOCKED}.{BLOCKED}.233.64:80 (United States)