Trend Micro Security

PUA.Win32.CureReg.A

2021年8月14日
 解析者: Clive Fuentebella   
 更新者 : Maria Emreen Viray
 別名:

PUA.RegCurePro!gen1 (NORTON)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: 潜在的に迷惑なアプリケーション
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

プログラムは、収集した情報を送信する機能を備えていません。

  詳細

ファイルサイズ 1,371,632 bytes
タイプ EXE
メモリ常駐 はい
発見日 2021年8月4日
ペイロード URLまたはIPアドレスに接続, 画像の表示, システムのレジストリの変更

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のフォルダを作成します。

  • %Common Programs%\RegCure
  • %Program Files%\RegCure

(註：%Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

プログラムは、以下のファイルを作成します。

  • %Application Data%\Microsoft\Internet Explorer\Quick Launch\RegCure.lnk
  • %Common Programs%\RegCure\RegCure.lnk
  • %Common Programs%\RegCure\Uninstall.lnk
  • %Program Files%\RegCure\0_days.htm
  • %Program Files%\RegCure\15_days.htm
  • %Program Files%\RegCure\1_days.htm
  • %Program Files%\RegCure\2_days.htm
  • %Program Files%\RegCure\30_days.htm
  • %Program Files%\RegCure\5_days.htm
  • %Program Files%\RegCure\Animated-Bar.gif
  • %Program Files%\RegCure\AutoUpdate.dll
  • %Program Files%\RegCure\LogSettings.xml
  • %Program Files%\RegCure\RegCure.exe
  • %Program Files%\RegCure\Tip1.html
  • %Program Files%\RegCure\Tip10.html
  • %Program Files%\RegCure\Tip11.html
  • %Program Files%\RegCure\Tip12.html
  • %Program Files%\RegCure\Tip13.html
  • %Program Files%\RegCure\Tip14.html
  • %Program Files%\RegCure\Tip15.html
  • %Program Files%\RegCure\Tip2.html
  • %Program Files%\RegCure\Tip3.html
  • %Program Files%\RegCure\Tip4.html
  • %Program Files%\RegCure\Tip5.html
  • %Program Files%\RegCure\Tip6.html
  • %Program Files%\RegCure\Tip7.html
  • %Program Files%\RegCure\Tip8.html
  • %Program Files%\RegCure\Tip9.html
  • %Program Files%\RegCure\buttonfill.jpg
  • %Program Files%\RegCure\buttonfill_expire.jpg
  • %Program Files%\RegCure\buttonfill_mo.jpg
  • %Program Files%\RegCure\buttonfill_mo_expire.jpg
  • %Program Files%\RegCure\config.xml
  • %Program Files%\RegCure\contentwrapper.gif
  • %Program Files%\RegCure\expire.css
  • %Program Files%\RegCure\footerbar.gif
  • %Program Files%\RegCure\help.chm
  • %Program Files%\RegCure\info_bubble.jpg
  • %Program Files%\RegCure\main.css
  • %Program Files%\RegCure\process-animation.gif
  • %Program Files%\RegCure\settings.xml
  • %Program Files%\RegCure\subtitlebar.gif
  • %Program Files%\RegCure\tile_titlebar.jpg
  • %Program Files%\RegCure\uninst.exe
  • %Program Files%\RegCure\whitelist.dat
  • %Program Files%\RegCure\zlibwapi.dll
  • %Public%\Desktop\RegCure.lnk
  • %Windows%\Tasks\RegCure Program Check.job
  • %Windows%\Tasks\RegCure.job

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

プログラムは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\RegCure
AffiliateID = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
RegCure.exe
(Default) = %Program Files%\RegCure\RegCure.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure
DisplayName = RegCure 1.5.1.3

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure
UninstallString = %Program Files%\RegCure\uninst.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure
DisplayIcon = %Program Files%\RegCure\RegCure.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure
DisplayVersion = 1.5.1.3

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure
URLInfoAbout = http://www.{BLOCKED}e.com

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure
Publisher = RegCure, Inc.

HKEY_LOCAL_MACHINE\SOFTWARE\RegCure
FirstTime = 0

HKEY_LOCAL_MACHINE\SOFTWARE\RegCure
FirstSincePatch = 0

作成活動

プログラムは、収集した情報を保存するために以下のファイルを作成します。

  • %Program Files%\RegCure\Logs\SystemInfo.log
  • %Program Files%\RegCure\Logs\SystemInfo.zip

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

ダウンロード活動

プログラムは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

  • http://www.{BLOCKED}logic.com/xoftspyse/updatecore.aspx?vid=31245&pid=2&lid=EN&cpid=84&version=15100

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

プログラムは、以下の情報を収集します。

  • System information gathered based on LogSettings.xml
    • running processes
    • specific registry entries

情報の送信先

プログラムは、収集した情報を送信する機能を備えていません。

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\RegCure

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
RegCure.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
RegCure

プログラムは、以下を実行します。

  • displays exaggerated error messages after scan option and offers cleanup:
  • gives user the following options:
    • choose installation folder
      • uses %ProgramFiles% by default
    • manage startup programs in Autorun registry (disable/enable)

以下のスケジュールされたタスクを追加します：

  • Name: RegCure
    Action: %Program Files%\RegCure\RegCure.exe -t
    Trigger: Weekly, @ 4:47 AM every Sunday,Thursday; starting 1/1/2006
  • Name: RegCure Program Check
    Action: %Program Files%\RegCure\RegCure.exe ShowReminders
    Trigger: @ log on; Daily, @ 5:00 PM

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

  対応方法

対応検索エンジン: 9.800
SSAPI パターンバージョン: 2.433.00
SSAPI パターンリリース日: 2021年8月5日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

自身のアンインストールオプションを使用し、「PUA.Win32.CureReg.A」を削除します。

[ 詳細 ]
マルウェアのプロセスの削除

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PUA.Win32.CureReg.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください