WINWEBSE

「WINWEBSE」の亜種は、コンピュータをスキャンし、偽の　正規の警告を表示することで、セキュリティ対策ソフトウェアを装います。そしてソフトウェアを登録し、迷惑な脅威を削除するために、ユーザに支払いを要求します。実際に脅威は存在していません。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\Security Tool.lnk
• %Start Menu%\Programs\Security Tool.lnk
• %All Users Profile%\{random folder name}\{random filename}.bat

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{random digit}

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%All Users Profile%\{random folder name}\{random filename}.exe" (For Windows Vista and Windows 7)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%All Users Profile%\Application Data\{random folder name}\{random filename}.exe" (For Windows XP)

HKEY_LOCAL_MACHINE\SOFTWARE\{random digit}
Grep = “{random value}”

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://91.188.60.126/set.php?url={value}&affid={value}&sts={value}&win={OS Version}
• http://cloud.tnf.yt:443
• http://188.165.211.6/buy2.php?affid={value}&sts={value}
• http://72.233.65.204/buy2.php?affid={value}&sts={value}