PUA_QIWMONK.GA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。この結果、の不正活動が感染コンピュータ上で展開されることとなります。

侵入方法

その他は、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

その他は、以下のフォルダを作成します。

• %User Temp%\gsxz~

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

その他は、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\360Safe\
Liveup

その他は、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\360Safe\
Liveup
m2 = {values}

HKEY_LOCAL_MACHINE\SOFTWARE\360Safe\
Liveup
mid = {value}

ダウンロード活動

その他は、以下のファイル名でダウンロードしたファイルを保存します。

• %Desktop%\Inst13__{random numbers}__{random characters}__{random characters}__{random characters}.exe
• %User Temp%\360ini.cab
• %User Temp%\360ini\360ini.dll
• %User Temp%\{C52C19D6-A274-4a63-B089-A24653817020}.tmp
• %User Temp%\{43D8E017-1C97-46bb-8C90-B710A781BFE6}.tmp
• %User Temp%\{BC037A25-57AF-4b03-A126-BA5C687ECC36}.tmp
• %User Temp%\{209A54AE-AFAF-4330-AA89-4C35624E0F80}.tmp
• %User Temp%\{AFBA30E0-B823-40d0-BB45-548FAF331B75}.tmp
• %User Temp%\{750A701E-A782-47dd-9A25-00A5469FFCA2}.tmp
• %User Temp%\{34BD05CA-2830-47b6-8281-12AD4DD95C27}.tmp
• %User Temp%\{B255BE50-D3AF-4f40-A964-E09EC1FFC47C}.tmp
• %User Temp%\{54D8C29C-626C-4eca-AFAA-6B160225AA50}.tmp
• %User Temp%\{B068F8AD-B16D-4682-BB7C-BB56F47C4788}.tmp
• %User Temp%\{E940991B-2D20-4afa-A78B-0F7957B1A174}.tmp
• %User Temp%\{87D40B1C-0714-45d6-902C-E8C4ADCC5160}\pAlMhAyUlRaLjDcK.tmp
• %User Temp%\{003D1629-3590-492f-BD58-168D3B3EF8C9}\sPcVmSsVwTrObDyT.tmp
• %User Temp%\{38457048-8AD9-47ab-BB72-60AF1EBC561B}\nZaWwGqHdGjYgDnK.tmp
• %User Temp%\{DBFD68BC-0E70-4c07-9EBB-CF7027EA4EA3}\bViJgAmUcWeIzNbF.tmp
• %User Temp%\{49A87452-D382-449a-94B1-D567B57E8AFF}\xWoJjQpXlByShCmB.tmp
• %User Temp%\{E85F720C-AACD-4380-9AA9-D5B797BC8DD7}\xGmDtJvCuOtVxMfG.tmp
• %User Temp%\{E99D814F-5733-41bb-8A99-E80984AF37FB}\tXdBeAvCsKtRtWbJ.tmp
• %User Temp%\{65CF48FE-1517-474b-BFFC-8CE005DB0967}\hHgHmNrFrNfYmTvF.tmp
• %User Temp%\{B92DD482-BB52-488a-9EE3-B945D6F07A86}\rXuKoKjNpRlMeNjC.tmp
• %User Temp%\{5AA07F79-6FBA-44fc-A0EA-128B933F115C}\oOrGoRuNiAzFzNqW.tmp
• %User Temp%\jBmWjQwTfPuViZhY\{3CD2BAD9-2742-459f-A3EF-4B9284375C52}.tmp
• %User Temp%\kBrOnYdFvGmOnOwI\{5507EC86-97B0-4987-B4BB-2DCD78BD0F0E}.tmp
• %User Temp%\aSwTgXnRiCxExSrG\{105826A7-31A6-4afd-826E-71C4A15DB4B0}.tmp
• %User Temp%\lUjQeEdRlReSoZpN\{8CC3089F-8B0B-4ace-AE4B-9F0AAB1DA4F8}.tmp
• %User Temp%\oVhLcWjHsIeFzAvI\{588673E2-75B5-4a84-B87F-8F6CF60E7235}.tmp
• %User Temp%\zDtMtYbBuAbOuBxT\{A69CAC6F-BE8A-4554-8649-2567ACBF3794}.tmp
• %User Temp%\qQqTiIwIpHfKfJwI\{380C1725-DE04-4cf5-80AD-8011D87A107B}.tmp
• %User Temp%\tQhXkLiOoPtOuUwL\{24AC1481-E3A0-44e2-B347-628726F624A2}.tmp
• %User Temp%\aEtYhDmTfVhGxOuE\{F4647AC1-68D7-4529-92EF-A2D0DB14B56A}.tmp
• %User Temp%\wWbNkCzZiGqQcRnX.tmp
• %User Temp%\pJpOlFtZeZdWgAlI.tmp
• %User Temp%\pTxOuCbSuMsHcJzH.tmp
• %User Temp%\uXvAaYuMtTzPxZsN.tmp
• %User Temp%\rFhMbHeZlXwYsWfT.tmp
• %User Temp%\sOfAtWaYhXmEwVhB.tmp
• %User Temp%\aBlMjBoPnVyWyVrC.tmp
• %User Temp%\eUoTgZqOeRxWuRoC.tmp
• %User Temp%\uDoSeSgMcHzLwLtG.tmp
• %User Temp%\lDoSpHbEeDtJsJfX.tmp
• %User Temp%\{1118E6AC-1E04-4895-AD53-22146BF1E734}
• %User Temp%\{68EF1E89-EE4B-46bc-9E8E-1B76D4BA861D}
• %User Temp%\360IniVerify.ini
• %User Temp%\vsRemotetemtentPl2634.ini
• %Desktop%\Internet Expleror.lnk
• %User Profile%\Start Menu\Programs\Internet Explorer.lnk
• %User Temp%\gsxz~\V9._92342_20170122175841.exe
• %User Temp%\gsxz~\6QktvJ.exe
• %User Temp%\gsxz~\inst_buychannel_11.exe
• %User Temp%\gsxz~\SGame_ST_303.exe
• %User Temp%\Inst13__{random numbers}__{random characters}__{random characters}__{random characters}.exe
• %User Temp%\gsxz~\IQIYIsetup_qudao@kb096.exe

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他は、ダウンロードしたファイルを実行します。この結果、の不正活動が感染コンピュータ上で展開されることとなります。

その他

その他は、以下の不正なWebサイトにアクセスします。

• http://api.{BLOCKED}u.cc /api/getdown
• http://cdn.{BLOCKED}u.cc/baizhu.zip
• http://dl2.{BLOCKED}e.com/partner/Inst13__{random numbers}__{random characters}__{random characters}__{random characters}.exe
• http://cdn.{BLOCKED}u.cc/youxi/index_{value}.htm
• http://s4.{BLOCKED}z.com/z_stat.php?id={value}&web_id={value}
• http://z11.{BLOCKED}z.com/stat.htm?id={value}&r=&lg={value}&ntime={value}&cnzz_eid={value}&showp={value}&t=&h=1&rnd={value}
• http://{BLOCKED}.{BLOCKED}.226.194/youxi/ad_37.js
• http://fpdownload.{BLOCKED}edia.com/pub/shockwave/cabs/flash/swflash.cab
• http://p.{BLOCKED}0.com/b/1/720/20903/ifd9fhd.swf
• http://s95.{BLOCKED}z.com/z_stat.php?id={value}&web_id={value}
• http://c.{BLOCKED}z.com/core.php?web_id={value}&t=z
• http://cnzz.{BLOCKED}t.com/9.gif?abc={value}&rnd={value}
• http://dl.{BLOCKED}e.com/gf/360ini.cab
• http://dl.{BLOCKED}e.com/gf/v3112087.cab
• http://dl.{BLOCKED}e.com/gf/360IniVerify.cab
• http://dl.{BLOCKED}e.com/gf/ExtVerify.cab
• http://dl.{BLOCKED}e.com/gf/360DenyPidList.cab
• http://dl.{BLOCKED}e.com/sev3/sewstg.cab
• http://dl.{BLOCKED}e.com/ludashi/ludashi_buy.exe
• http://s1.{BLOCKED}i.com/url2?pid=buychannel_11&type=instonline&action={value}&appver={value}&modver={value}&mid={value}
• http://speedxbu.{BLOCKED}u.com/shurufa/ime/setup/bdimesetupstandalone_2017-01-04-12-49-55-5.0.3900.0.dll