TrojanSpy.Win32.SCRATCHAU.C

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• {malware file path and name} /nstart
• %User Temp%\udupwoe.exe /HomeRegAccess10
• Rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %User Temp%\~ekkiire.inf
• %User Temp%\qwoobks.exe /HomeRegAccess10
• %User Temp%\mtomenf.exe /HomeRegAccess10
• Rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %User Temp%\~yirewhg.inf
• %System%\PING.EXE ping -n 1 127.0.0.1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\evqimhu
• %User Temp%\pctplfd
• %User Temp%\xwoqrlm
• %User Temp%\hcejira
• %User Temp%\mfcmcqw
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Favorites%フォルダは、現在ログオンしているユーザのお気に入りフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Favorites" です。)

他のシステム変更

スパイウェアは、以下のファイルを改変します。

• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\desktop.ini

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを削除します。

• %Favorites%\Windows Live\Windows Live Spaces.url
• %Favorites%\Links\desktop.ini
• %Favorites%\desktop.ini
• %Favorites%\Microsoft Websites\Microsoft At Work.url
• %Favorites%\Links for United States\USA.gov.url
• %User Startup%\desktop.ini
• %User Temp%\qwoobks.exe
• %Favorites%\Links for United States\desktop.ini
• %Favorites%\Links\Suggested Sites.url
• %Favorites%\Microsoft Websites\IE site on Microsoft.com.url
• %Favorites%\Windows Live\Windows Live Gallery.url
• %User Temp%\mtomenf.exe
• %Favorites%\MSN Websites\MSN Entertainment.url
• %Favorites%\MSN Websites\MSN.url
• %Favorites%\Microsoft Websites\IE Add-on site.url
• %Program Files%\Microsoft Office\Office12\GrooveShellExtensions.dll
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini
• %Favorites%\Links\Web Slice Gallery.url
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Acrobat Reader DC.lnk
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Windows Explorer.lnk
• %Favorites%\Microsoft Websites\Microsoft Store.url
• %Favorites%\MSN Websites\MSN Autos.url
• %Favorites%\Links for United States\GobiernoUSA.gov.url
• %Favorites%\MSN Websites\MSN Sports.url
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk
• %User Temp%\udupwoe.exe
• %Favorites%\MSN Websites\MSNBC News.url
• %Favorites%\Microsoft Websites\Microsoft At Home.url
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Windows Media Player.lnk
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
• %Favorites%\Windows Live\Windows Live Mail.url
• %Favorites%\MSN Websites\MSN Money.url
• %Favorites%\Windows Live\Get Windows Live.url

スパイウェアは、以下のフォルダを削除します。

• %Favorites%\Windows Live
• %Favorites%\Links for United States
• %Favorites%\Microsoft Websites
• %Favorites%\links
• %Favorites%\MSN Websites
• %Favorites%\Links

(註：%Favorites%フォルダは、現在ログオンしているユーザのお気に入りフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Favorites" です。)

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}
(Default) = "Internet Explorer"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\DefaultIcon
(Default) = "%Windows%\SysWOW64\ieframe.dll,-190"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\shell\
NoAddOns
(Default) = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\shell\
NoAddOns\Command
(Default) = "%Program Files%\Internet Explorer\iexplore.exe -extoff"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\shell\
Open
(Default) = "\xe6\x89\x93\xe5\xbc\x80\xe4\xb8\xbb\xe9\xa1\xb5(&H)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\shell\
Open\Command
(Default) = "%Program Files%\Internet Explorer\iexplore.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\shell\
Set
(Default) = "\xe5\xb1\x9e\xe6\x80\xa7(&R)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{B5EAD1DB-7C18-4954-8820-01733BC08C82}\shell\
Set\Command
(Default) = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Desktop\NameSpace\{B5EAD1DB-7C18-4954-8820-01733BC08C82}
(Default) = "Internet Explorer"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\MAIN
Start Page = "http://www.{BLOCKED}5.com/?30205"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\MAIN
Default_Page_URL = "http://www.{BLOCKED}5.com/?30205"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\MAIN
First Home Page = "http://www.{BLOCKED}5.com/?30205"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Baidu\BaiduProtect\LockIEStartPage
Start Page = "http://www.{BLOCKED}5.com/?30205"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\MAIN
First Home Page = "http://www.{BLOCKED}5.com/?30205"

HKEY_LOCAL_MACHINE\SOFTWARE\Baidu\
BaiduProtect\LockIEStartPage
Start Page = "http://www.{BLOCKED}5.com/?30205"

HKEY_CURRENT_USER\Software\PPStream\
main
client = "xt@xt001"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Tencent\QQPCMgr
SupplyID = "1100101518"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Tencent\QQBrowser
SupplyID = "1100101518"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Tencent\QQBrowser
SubSupplyID = "#0#200099"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Tencent\MobileGamePC
SupplyID = "271"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
PromptOnSecureDesktop = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesResolve = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
Favorites = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesVersion = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "15"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "16"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "17"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "18"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
Favorites = "\xff"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "19"

HKEY_CURRENT_USER\Software\Classes\
Local Settings\Software\Microsoft\
Windows\Shell\MuiCache\
%Program Files%\Internet Explorer
iexplore.exe = "Internet Explorer"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband
FavoritesChanges = "20"

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\MAIN
Start Page = "http://www.{BLOCKED}5.com/?30205"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\MAIN
Default_Page_URL = "http://www.{BLOCKED}5.com/?30205"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

スパイウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
RunOnceEx\(Default)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnceEx\
(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
RunOnce\(Default)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce\
(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run\(Default)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run\
(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnceEx\
(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce\
(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run\
(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer\Browser Helper Objects\(Default)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\(Default)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Lsa\(Default)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\.NETFramework\(Default)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Taskband\FavoritesResolve

作成活動

スパイウェアは、以下のファイルを作成します。

• %Favorites%\xe7\xbd\x91\xe9\xa1\xb5\xe6\xb8\xb8\xe6\x88\x8f.url
• %Favorites%\xe4\xba\xac\xe4\xb8\x9c\xe5\x95\x86\xe5\x9f\x8e.url
• %Favorites%\links\xe4\xba\xac\xe4\xb8\x9c\xe5\x95\x86\xe5\x9f\x8e.url
• %User Temp%\1212iesbjwd
• %User Temp%\2344tdrpgxt
• %Favorites%\xe6\xb7\x98\xe5\xae\x9d\xe7\xbd\x91.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe7\x99\xbe\xe5\xba\xa6\xe4\xb8\x80\xe4\xb8\x8b.url
• %Favorites%\xe5\x85\x8d\xe8\xb4\xb9\xe7\x94\xb5\xe5\xbd\xb1.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe6\xb7\x98\xe5\xae\x9d\xe7\xbd\x91.url
• %Favorites%\xe7\xbd\x91\xe5\x9d\x80\xe5\xaf\xbc\xe8\x88\xaa.url
• %Favorites%\links\xe6\xb8\xb8\xe6\x88\x8f\xe5\x8a\xa0\xe9\x80\x9f.url
• %Favorites%\links\xe6\xb7\x98\xe5\xae\x9d\xe7\xbd\x91.url
• %User Temp%\3044ukjvamx
• %Favorites%\xe7\xbe\x8e\xe5\xa5\xb3\xe5\x9b\xbe\xe7\x89\x87.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe5\x85\x8d\xe8\xb4\xb9\xe7\x94\xb5\xe5\xbd\xb1.url
• %User Temp%\2992vhhosqu
• %Favorites%\xe7\x99\xbe\xe5\xba\xa6\xe4\xb8\x80\xe4\xb8\x8b.url
• %Favorites%\links\xe7\x99\xbe\xe5\xba\xa6\xe4\xb8\x80\xe4\xb8\x8b.url
• %Favorites%\links\xe7\xbe\x8e\xe5\xa5\xb3\xe5\x9b\xbe\xe7\x89\x87.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe7\xbd\x91\xe9\xa1\xb5\xe6\xb8\xb8\xe6\x88\x8f.url
• %Favorites%\links\xe5\xb0\x8f\xe6\xb8\xb8\xe6\x88\x8f.url
• %Favorites%\xe5\xa4\xa9\xe7\x8c\xab\xe7\xb2\xbe\xe9\x80\x89.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe7\xbd\x91\xe5\x9d\x80\xe5\xaf\xbc\xe8\x88\xaa.url
• %User Temp%\1700tdrpgxt
• %Favorites%\links\xe7\xbd\x91\xe5\x9d\x80\xe5\xaf\xbc\xe8\x88\xaa.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe7\xbe\x8e\xe5\xa5\xb3\xe5\x9b\xbe\xe7\x89\x87.url
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
• %Favorites%\links\xe5\x85\x8d\xe8\xb4\xb9\xe7\x94\xb5\xe5\xbd\xb1.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe4\xba\xac\xe4\xb8\x9c\xe5\x95\x86\xe5\x9f\x8e.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe5\xa4\xa9\xe7\x8c\xab\xe7\xb2\xbe\xe9\x80\x89.url
• %Favorites%\links\xe7\xbd\x91\xe9\xa1\xb5\xe6\xb8\xb8\xe6\x88\x8f.url
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\desktop.ini
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe6\xb8\xb8\xe6\x88\x8f\xe5\x8a\xa0\xe9\x80\x9f.url
• %Favorites%\links\xe5\xa4\xa9\xe7\x8c\xab\xe7\xb2\xbe\xe9\x80\x89.url
• %Favorites%\xe9\x93\xbe\xe6\x8e\xa5\xe5\xb0\x8f\xe6\xb8\xb8\xe6\x88\x8f.url
• %Favorites%\xe5\xb0\x8f\xe6\xb8\xb8\xe6\x88\x8f.url
• %Favorites%\xe6\xb8\xb8\xe6\x88\x8f\xe5\x8a\xa0\xe9\x80\x9f.url
• %User Temp%\qwoobks.exe
• %User Temp%\mtomenf.exe
• %User Temp%\udupwoe.exe

(註：%Favorites%フォルダは、現在ログオンしているユーザのお気に入りフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Favorites" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

このウイルス情報は、自動解析システムにより作成されました。