• Email
• Facebook
• Twitter
• Google+
• Linkedin

PUA.Win32.Pisphon.C

---

• マルウェアタイプ: 潜在的に迷惑なアプリケーション
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• %User Temp%\psiphon-tunnel-core.exe %User Temp%\psiphon-tunnel-core.exe --config "%Application Data%\Psiphon3\psiphon.config" --serverList "%Application Data%\Psiphon3\server_list.dat"
• "%System Root%\Program Files\Internet Explorer\iexplore.exe" https://{BLOCKED}der.net/?{random characters}!psicash=eyJtZXRhZGF0YSI6eyJjbGllbnRfcmVnaW9uIjoiVVMiLCJjbGllbnRfdmVyc2lvbiI6IjE1MiIsInByb3BhZ2F0aW9uX2NoYW5uZWxfaWQiOiI5MkFBQ0M1QkFCRTA5NDRDIiwic3BvbnNvcl9pZCI6IjFCQzUyN0QzRDA5OTg1Q0YiLCJ1c2VyX2FnZW50IjoiUHNpcGhvbi1Qc2lDYXNoLVdpbmRvd3MifSwidG9rZW5zIjpudWxsLCJ2IjoxfQ
• %System%\DllHost.exe /Processid:{F9717507-6651-4EDB-BFF7-AE615179BCCF}
• %System%\svchost.exe -k netsvcs
• %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• "%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:2136 CREDAT:275457 /prefetch:2

プログラムは、以下のフォルダを作成します。

• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core\osl
• %Application Data%\Psiphon3\psicash
• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core
• %Application Data%\Psiphon3
• %Application Data%\Microsoft\Windows\DNTException
• %Application Data%\Microsoft\Windows\PrivacIE
• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core\datastore
• %Application Data%\Microsoft\Windows\IECompatCache
• %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
• %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core\tapdance
• %Application Data%\Microsoft\Windows\IECompatUACache

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

プログラムは、以下のファイルを削除します。

• %AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico
• %Application Data%\Psiphon3\psiphon3.exe.upgrade

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Psiphon3
SkipProxySettings = "0"

HKEY_CURRENT_USER\Software\Psiphon3
SkipAutoConnect = "0"

HKEY_CURRENT_USER\Software\Psiphon3
NativeProxyInfo = "{proxies:[{bypass:,flags:9,name:,proxy:}]}"

HKEY_CURRENT_USER\Software\Psiphon3
UICookies = "{language:en}"

HKEY_CURRENT_USER\Software\Psiphon3
UICookies = "{random characters}"

HKEY_CURRENT_USER\Software\Psiphon3
PsiphonProxyInfo = "{random characters}"

プログラムは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\UMB\UMB\
1&841921d&0&PrinterBusEnumerator\CustomPropertyHwIdKey

作成活動

プログラムは、以下のファイルを作成します。

• %Application Data%\Psiphon3\psiphon.config
• %Application Data%\Psiphon3\server_list.dat
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{E4E0D2D3-F9A0-11E9-8842-005056BC2F1C}.dat
• %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{E4E0D2D5-F9A0-11E9-8842-005056BC2F1C}.dat
• %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{EBC64DE5-F9A0-11E9-8842-005056BC2F1C}.dat
• %User Temp%\psiphon-tunnel-core.exe
• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core\datastore\psiphon.boltdb
• %Application Data%\Psiphon3\psicash\psicashdatastore.prod.commit
• %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
• %Application Data%\Psiphon3\psicash\psicashdatastore.prod
• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core\migration_complete
• %Application Data%\Psiphon3\psicash\psicashdatastore.prod.temp
• %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
• %Application Data%\Psiphon3\ca.psiphon.PsiphonTunnel.tunnel-core\datastore\psiphon.boltdb.lock

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.157.244
• {BLOCKED}.94.34
• {BLOCKED}.55.87
• {BLOCKED}.193.34
• {BLOCKED}1.196.158
• {BLOCKED}8.105.29
• {BLOCKED}6.107.75
• {BLOCKED}6.27.163
• {BLOCKED}5.84.114
• {BLOCKED}9.114.77
• {BLOCKED}.155.190
• {BLOCKED}.152.190

このウイルス情報は、自動解析システムにより作成されました。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください