PUA.Win32.InstallCore.USMANHOBJG

2020年2月7日

プラットフォーム:

Windows

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: 潜在的に迷惑なアプリケーション
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 3,070,408 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年2月7日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

%System%\regsvr32.exe /s %System%\jscript.dll
"{malware file path and name}" /_ShowProgress /mnl
%System%\regsvr32.exe /s %System%\mshtml.dll
%System%\regsvr32.exe /s %System%\shdocvw.dll
%System%\regsvr32.exe /s %System%\ieframe.dll
%System%\regsvr32.exe /s %System%\mshtmled.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プログラムは、以下のフォルダを作成します。

%User Temp%\inH1324598931637\css\helpers
%User Temp%\inH1324598931637
%User Temp%\inH1324598931637\libs\localAssests\icc
%User Temp%\inH1324598931637\replacer
%User Temp%\inH1324598931637\images
%User Temp%\inH1324598931637\css
%User Temp%\inH1324598931637\locale
%User Temp%\inH1324598931637\libs\localAssests\icut
%User Temp%\inH1324598931637\libs
%User Temp%\inH1324598931637\libs\localAssests
%User Temp%\inH1324598931637\css\sdk-ui\images
%User Temp%\in364BB553
%User Temp%\inH1324598931637\css\sdk-ui

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のファイルを削除します。

%User Temp%\inH1324598931637\bootstrap_5043.html

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Shell Extensions\
Cached
{random string} = "\x01\x00\x00\x00\x00\x00\x00\x00\xf6\xcdq\xc2~\xd5\x01"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
(Default) = "%System%\jscript.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
ThreadingModel = "Both"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JavaScript1.2 AuthorJavaScript1.3 Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JavaScript1.2 AuthorJavaScript1.3 Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ECMAScript Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ECMAScript Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript Author"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language Encoding"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript.Encode"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact
(Default) = "JScript Compact Profile (ECMA 327)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Compact Profile (ECMA 327)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript.Compact"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "HtmlDlgHelper Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "HtmlDlgHelper.HtmlDlgHelper.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
VersionIndependentProgID
(Default) = "HtmlDlgHelper.HtmlDlgHelper"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
(Default) = "%System%\mshtmled.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ToolboxBitmap32
(Default) = "%System%\mshtmled.dll, 1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
MiscStatus
(Default) = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
MiscStatus\1
(Default) = "131473"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
TypeLib
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
Version
(Default) = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "HtmlDlgSafeHelper Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "HtmlDlgSafeHelper.HtmlDlgSafeHelper.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
VersionIndependentProgID
(Default) = "HtmlDlgSafeHelper.HtmlDlgSafeHelper"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
Version
(Default) = "1.1"

プログラムは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript
(Default) = "JScript Language"