PUA.Win32.InstallCore.MANHOCFC
PUA/OfferCore.Gen (ANTIVIR)
Windows
- マルウェアタイプ: 潜在的に迷惑なアプリケーション
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
詳細
インストール
プログラムは、以下のファイルを作成します。
- %User Temp%\is-{Random Characters 1}.tmp\{Malware File Name}.tmp → Deleted afterwards
- %User Temp%\is-{Random Characters 2}.tmp\is-{Random Characters 3}.tmp → Renamed afterwards to file_.exe
- %User Temp%\is-{Random Characters 4}.tmp\file_.tmp → Deleted afterwards
- %User Temp%\is-{Random Characters 5}.tmp\botva2.dll → Deleted afterwards
- %User Temp%\is-{Random Characters 5}.tmp\Helper.dll → Deleted afterwards
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
プログラムは、以下のプロセスを追加します。
- "%User Temp%\is-{Random Characters 1}.tmp\{Malware File Name}.tmp" /SL5="$1F05E8,831488,831488,{Malware Path}\{Malware File Name}.exe"
- "%User Temp%\is-{Random Characters 2}.tmp\file_.exe" /LANG=en /NA=Rh85hR64
- "%User Temp%\is-{Random Characters 4}.tmp\file_.tmp" /SL5="$2F05AA,1559708,780800,%User Temp%\is-{Random Characters 2}.tmp\file_.exe" /LANG=en /NA=Rh85hR64
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
プログラムは、以下のフォルダを作成します。
- %User Temp%\is-{Random Characters 1}.tmp → Deleted afterwards
- %User Temp%\is-{Random Characters 2}.tmp
- %User Temp%\is-{Random Characters 2}.tmp\_isetup
- %User Temp%\is-{Random Characters 4}.tmp → Deleted afterwards
- %User Temp%\is-{Random Characters 5}.tmp → Deleted afterwards
- %User Temp%\is-{Random Characters 5}.tmp\_isetup → Deleted afterwards
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
他のシステム変更
プログラムは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = {Hex Values}
HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = {Hex Values}
HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = 1
HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
Owner = {Hex Values} → Deleted afterwards
HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
SessionHash = {Hex Values} → Deleted afterwards
HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
Sequence = 1 → Deleted afterwards
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
{Hash Value}
Blob = {Hex Values}
その他
プログラムは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}9k18f2wb.cloudfront.net
- http://{BLOCKED}ha0gj0a4.cloudfront.net