PUA.Win32.JAWEGO.AE

2020年6月12日

プラットフォーム:

Windows

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: 潜在的に迷惑なアプリケーション
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 3,542,504 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年6月12日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

"%User Temp%\is-10A8I.tmp\{malware file name}.tmp" /SL5="$30168,3054916,148992,{malware file path and name}"
"%System%\regsvr32.exe" /s "%System%\jscript.dll"
"%Program Files%\PC Power Booster\PCPowerBooster.exe"
"%Program Files%\PC Power Booster\sysmon.exe" /verysilent
http://www.{BLOCKED}rboost.com/afterinstall/?&LangID=en
"%User Temp%\is-G754O.tmp\sysmon.tmp" /SL5="$101D2,860684,140800,%Program Files%\PC Power Booster\sysmon.exe" /verysilent
"%System%\taskkill.exe" /f /im sysmon.exe
"%Application Data%\SysMon\sysmon.exe"
"%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:2452 CREDAT:275457 /prefetch:2

プログラムは、以下のフォルダを作成します。

%User Temp%\is-FK05B.tmp\_isetup
%Application Data%\pc power booster
%User Temp%\is-RG569.tmp\_isetup
%Program Files%\PC Power Booster
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\PC Power Booster
%Application Data%\SysMon

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

他のシステム変更

プログラムは、以下のファイルを改変します。

%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Last Active\RecoveryStore.{4555A5E7-C06D-11E6-8AB1-005056BC3E18}.dat

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

プログラムは、以下のファイルを削除します。

%All Users Profile%\Microsoft\Windows\Start Menu\Programs\PC Power Booster\PC Power Booster.pif
%AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico
%Windows%\Tasks\RunAtStartup.job
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Last Active\{AD285A8B-713F-11E9-85F8-005056BC44A9}.dat
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\PC Power Booster\PC Power Booster.url
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\PC Power Booster\Register PC Power Booster.pif
%Windows%\Tasks\PC Power Booster.job
%System Root%\Users\Public\Desktop\PC Power Booster.pif
%System Root%\Users\Public\Desktop\PC Power Booster.url
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\PC Power Booster\Register PC Power Booster.url

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "T\x03\x00\x00\xbb\xa3\xea\xd4\xa8\xe1\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
TELNO = "(855) 761-8856"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
TELNOFR = "01.76.54.27.59"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
TELNODE = "(800) 180-6512"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
TELNOJP = "03-5050-1410"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
support_email = "support@jawego.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
ShowExitPage = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Jawego\Params
PCPB = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
PCPBURL = "http://www.{BLOCKED}rboost.com/buynow/?"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
RENEWALURL = "http://www.{BLOCKED}rboost.com/renewal/?"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFiles0000 = "\x00\x00\x00\x00x\xe4\xb0\x80\xe1\x80\x80t\xe1\xbe\xbf"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFilesHash = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
MaxFixLimit = "15"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
Inno Setup: Setup Version = "5.5.6 (u)"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
Inno Setup: App Path = "%Program Files%\PC Power Booster"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
InstallLocation = "%Program Files%\PC Power Booster"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
Inno Setup: Icon Group = "PC Power Booster"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
Inno Setup: User = "{username}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
Inno Setup: Language = "en"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
DisplayName = "PC Power Booster"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
DisplayIcon = "%Program Files%\PC Power Booster\PCPowerBooster.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
UninstallString = "%Program Files%\PC Power Booster\unins000.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
QuietUninstallString = "%Program Files%\PC Power Booster\unins000.exe /SILENT"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
DisplayVersion = "3.9.9.941"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
Publisher = "www.pcpowerboost.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
URLInfoAbout = "www.pcpowerboost.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
HelpLink = "www.pcpowerboost.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
InstallDate = "20200212"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
MajorVersion = "3"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
MinorVersion = "9"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
EstimatedSize = "13607"

HKEY_CURRENT_USER\Software\Jawego\
Params
PCPBGuid = "pc power booster"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Jawego\Params
PCPBGuid = "pc power booster"

HKEY_CURRENT_USER\Software\pc power booster\
LANG
LangCode = "en"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster\LANG
LangID = "0"

HKEY_CURRENT_USER\Software\pc power booster\
LANG
LangID = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\PC Power Booster_is1
UninstallString = "%Program Files%\PC Power Booster\unins000.exe /silent"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
(Default) = "%System%\jscript.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
InprocServer32
ThreadingModel = "Both"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JavaScript1.2 AuthorJavaScript1.3 Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JavaScript1.2 AuthorJavaScript1.3 Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ECMAScript Author
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ECMAScript Author\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language Authoring"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript Author"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Language Encoding"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript.Encode"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact
(Default) = "JScript Compact Profile (ECMA 327)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript.Compact\CLSID
(Default) = "{{GUID}}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}
(Default) = "JScript Compact Profile (ECMA 327)"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\CLSID\{{GUID}}\
ProgID
(Default) = "JScript.Compact"

HKEY_CURRENT_USER\Software\PC\
Power\Booster\key\
6
(Default) = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
PC\Power\Booster\
key\6
(Default) = "{random characters}"

HKEY_CURRENT_USER\Software\pc power booster
1stInstalled_Time = "2/12/2020 1:52:24 PM"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
Expired = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
pc power booster
FirstTimePCPBFired = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\DirectDraw\MostRecentApplication
Name = "PCPowerBooster.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\DirectDraw\MostRecentApplication
ID = "1520233734"

HKEY_CURRENT_USER\Software\pc power booster
SetChkDontShowRedTrayPopup = "0"

HKEY_CURRENT_USER\Software\pc power booster
SetChkREmovableMedia = "1"

HKEY_CURRENT_USER\Software\pc power booster
SetChkSkipEmptyKeys = "1"

HKEY_CURRENT_USER\Software\pc power booster
ImprovementProgram = "1"

HKEY_CURRENT_USER\Software\pc power booster
StartWhenWinBoots = "1"

HKEY_CURRENT_USER\Software\pc power booster
GoToSystemTrayOnClose = "0"

HKEY_CURRENT_USER\Software\pc power booster
SetEnableSound = "1"

HKEY_CURRENT_USER\Software\pc power booster
ConfirmBkUps = "1"

HKEY_CURRENT_USER\Software\pc power booster
StartScan = "0"

HKEY_CURRENT_USER\Software\pc power booster
StartMinimized = "0"

HKEY_CURRENT_USER\Software\pc power booster
AutoRepair = "0"

HKEY_CURRENT_USER\Software\pc power booster
StrLastScan = ""

HKEY_CURRENT_USER\Software\pc power booster
StrLastScanResults = "0"

HKEY_CURRENT_USER\Software\pc power booster
ErrorCount = "0"

HKEY_CURRENT_USER\Software\pc power booster
StrLastOptimizeTime = ""

HKEY_CURRENT_USER\Software\pc power booster
StrLatestRegDefrag = ""

HKEY_CURRENT_USER\Software\pc power booster
StrLatestRestorePoint = ""

HKEY_CURRENT_USER\Software\pc power booster
StrLastStartupOpt = ""

HKEY_CURRENT_USER\Software\pc power booster
RegErrFoundTillDate = "0"

HKEY_CURRENT_USER\Software\pc power booster
RegErrsFixedTillDate = "0"

HKEY_CURRENT_USER\Software\pc power booster
RegErrsFixedLast = "0"

HKEY_CURRENT_USER\Software\pc power booster
ScheduledTime = ""

HKEY_CURRENT_USER\Software\pc power booster
NumTimesPCPRunned = "1"

HKEY_CURRENT_USER\Software\pc power booster
SetChkPeriodicUpDate = "1"

HKEY_CURRENT_USER\Software\pc power booster
FirstRun = "1"

HKEY_CURRENT_USER\Software\pc power booster
CanAutoScan = "0"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
Owner = "p\x0b\x00\x00^\xac\xc9\xdb\xa8\xe1\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
Sequence = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon
TELNO = "(844) 763-5838"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon
TELNOFR = "01.76.54.05.61"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon
TELNODE = "(800) 180-6512"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon
TELNOJP = "03-5050-1410"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon
TELNOAU = "1800 154 231"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon
TELNOUK = "0800 031 4657"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
RegFiles0000 = "\x00\x00"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0001
RegFilesHash = "'S8lrj\x9c$\x18'q\x07I\xf4\xe0\x7f\xe5Q\x9d\x92\xa87\xc1OI\xf2n\xa8\xc5W\x0b\xa4"

HKEY_CURRENT_USER\Software\SysMon\
LANG
LangCode = "en"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon\LANG
LangCode = "en"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
SysMon\LANG
LangID = "0"

HKEY_CURRENT_USER\Software\SysMon\
LANG
LangID = "0"

プログラムは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript
(Default) = "JScript Language"

(註：変更前の上記レジストリ値は、「JScript Language」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
JScript\CLSID
(Default) = "{{GUID}}"