TROJ_FAKEAV.HBO

マルウェアは、自身のコピーがWindows起動時に自動実行されるようレジストリ値を追加します。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品の購入しようとすると、ユーザをWebサイトにリダイレクトしてクレジットカード番号といった個人情報を要求します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\{random folder}\{random file name}.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のファイルを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\{random folder}\{random file name}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\{random folder}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random file name} = "%System Root%\Documents and Settings\All Users\Application Data\{random folder}\{random file name}.exe"

その他

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品の購入しようとすると、ユーザをWebサイトにリダイレクトしてクレジットカード番号といった個人情報を要求します。

マルウェアは、以下のURLに接続して、自身がインストールされたことを不正リモートユーザに知らせます。

• http://{BLOCKED}9.{BLOCKED}0.195.76/i.php?{random characters}

マルウェアは、以下のウィンドウを表示して、コンピュータの検索を装います。

マルウェアは、以下の偽検索結果画面を表示して、ユーザに、「Remove all threats now」ボタンをクリックし、すべての脅威を除去するよう促します。

マルウェアは、ユーザが「Remove all threats now」ボタンをクリックすると、以下のウィンドウを表示します。

ユーザは、偽ソフトウェアを有効にすると、以下のページに誘導されます。

マルウェアは、収集した情報をHTTPポストを介して、以下のURLに送信します。

• http://{BLOCKED}9.{BLOCKED}0.209.220/b.php

マルウェアは、アプリケーションの実行を妨げます。