PUA_PCPOWERSPEED.GA
PUA.PCPowerSpeed (Symantec)
Windows
マルウェアタイプ:
不要なアプリケーション
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。
詳細
侵入方法
プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。
インストール
プログラムは、以下のフォルダを追加します。
- %User Temp%\is-{random characters}.tmp\{malware filename}.tmp
- %User Temp%\is-{random characters}.tmp\_isetup
- %Program Files%\PCPowerSpeed
- %Application Data%\PCPowerSpeed
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\PC Power Speed
(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)
プログラムは、以下のファイルを作成します。
- %User Temp%\is-{random characters}.tmp\_isetup\_RegDLL.tmp
- %User Temp%\is-{random characters}.tmp\_isetup\_shfoldr.dll
- %Program Files%\PCPowerSpeed\unins000.dat
- %Program Files%\PCPowerSpeed\unins000.exe
- %Program Files%\PCPowerSpeed\unins000.msg
- %Program Files%\PCPowerSpeed\PCPowerSpeed.exe
- %Program Files%\PCPowerSpeed\PCPowerTray.exe
- %Application Data%\PCPowerSpeed\faq.tmp
- %Desktop%\PC Power Speed - Optimize Your PC.lnk
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\PC Power Speed\PC Power Speed.lnk
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\PC Power Speed\PCPowerSpeed.com.url
- %ProgramData%\Microsoft\Windows\Start Menu\Programs\PC Power Speed\Uninstall PC Power Speed.lnk
自動実行方法
プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
PCPowerSpeed = ""%Program Files%\PCPowerSpeed\PCPowerTray.exe" /startup"
他のシステム変更
プログラムは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
HKEY_CURRENT_USER\Software\Microsoft\
Direct3D
HKEY_CURRENT_USER\Software\Microsoft\
Direct3D\MostRecentApplication
HKEY_CURRENT_USER\Software\PCPowerSpeed
HKEY_CURRENT_USER\Software\PCPowerSpeed\
AppMessages
プログラムは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
Inno Setup: Setup Version = "5.3.8 (a)"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
Inno Setup: App Path = "%Program Files%\PCPowerSpeed"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
InstallLocation = "%Program Files%\PCPowerSpeed\"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
Inno Setup: Icon Group = "PC Power Speed"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
Inno Setup: User = "{username}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
Inno Setup: Language = "en"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
DisplayName = "PC Power Speed 2.1.0.108"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
DisplayIcon = "%Program Files%\PCPowerSpeed\PCPowerSpeed.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
UninstallString = "%Program Files%\PCPowerSpeed\unins000.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
QuietUninstallString = ""%Program Files%\PCPowerSpeed\unins000.exe" /SILENT"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
DisplayVersion = "2.1.0.108"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
Publisher = "Crawler Group, LLC"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
URLInfoAbout = "http://www.PCPowerSpeed.com/"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
HelpLink = "http://www.PCPowerSpeed.com/"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
URLUpdateInfo = "http://www.PCPowerSpeed.com/"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
NoModify = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
NoRepair = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
InstallDate = "{Installation date}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
MajorVersion = "2"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
MinorVersion = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{B0C56FD7-493D-44DD-B007-BBB5117D6E6F}_is1
EstimatedSize = "14006"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
StartPage\NewShortcuts
%Application Data%\Microsoft\Windows\Start Menu\Programs\PC Power Speed\PC Power Speed.lnk = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
StartPage\NewShortcuts
%ProgramData%\Microsoft\Windows\Start Menu\Programs\PC Power Speed\PC Power Speed.lnk = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Direct3D\MostRecentApplication
Name = "PCPowerSpeed.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
INSTALL = "{hex value}"
HKEY_CURRENT_USER\Software\PCPowerSpeed
SCHEDULE_SCAN = "7"
HKEY_CURRENT_USER\Software\PCPowerSpeed
STARTUP_SCAN = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
SHOW_RESULTS = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
SHOW_TRAY = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
DELAY_STARTUP = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
CREATE_SYSTEMRP = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
CHECK_FOR_UPDATES = "1"
HKEY_CURRENT_USER\Software\PCPowerSpeed
LAST_UPDATE = "{hex value}"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
LANGUAGE = "en"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
INSTCFG = "29"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
UID = "{UID}"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
PARAM{number} = "{hex value}"
HKEY_CURRENT_USER\Software\PCPowerSpeed
OTF = "1"
HKEY_LOCAL_MACHINE\SOFTWARE\PCPowerSpeed
SERVER_STATUS_TYPE = ""
その他
プログラムは、以下の不正なWebサイトにアクセスします。
- http://www.{BLOCKED}rspeed.com/client.asmx
- http://www.{BLOCKED}rspeed.com/client.asmx/GetXML
- http://www.{BLOCKED}rspeed.com/client.asmx/Activate
- http://www.{BLOCKED}rspeed.com/client.asmx/SendLog
- http://www.{BLOCKED}rspeed.com/client.asmx/GetPhone
- http://www.{BLOCKED}rspeed.com/appDefault.aspx?page=app_help_pcsc&lng=en
- http://www.{BLOCKED}rspeed.com/appDefault.aspx?page=app_help_pcsc