• Email
• Facebook
• Twitter
• Google+
• Linkedin

PUA.Win32.TaskbarSys.A

---

• マルウェアタイプ: 潜在的に迷惑なアプリケーション
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

• %AppDataLocal%\Programs\Taskbar system
• %AppDataLocal%\Programs\Taskbar system\countly
• %AppDataLocal%\TaskbarSystem
• %AppDataLocal%\TaskbarSystem\TaskbarSystem.exe_Url_{random}
• %Programs%\Taskbar system
• %User Temp%\is-{random}.tmp

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Programs%フォルダは、ユーザのプログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu\Programs" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs" です。または、Windows Vista、7、8の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のファイルを作成します。

• %AppDataLocal%\Programs\Taskbar system\AsyncBridge.Net35.dll
• %AppDataLocal%\Programs\Taskbar system\Countly.dll
• %AppDataLocal%\Programs\Taskbar system\Newtonsoft.Json.dll
• %AppDataLocal%\Programs\Taskbar system\SharpRaven.dll
• %AppDataLocal%\Programs\Taskbar system\System.Threading.dll
• %AppDataLocal%\Programs\Taskbar system\TaskbarSystem.exe
• %AppDataLocal%\Programs\Taskbar system\TaskbarSystem.exe.config
• %AppDataLocal%\Programs\Taskbar system\countly\device.xml
• %AppDataLocal%\Programs\Taskbar system\countly\sessions.xml
• %AppDataLocal%\Programs\Taskbar system\countly\sessions.xml
• %AppDataLocal%\Programs\Taskbar system\countly\userdetails.xml
• %AppDataLocal%\Programs\Taskbar system\sdk.dll
• %AppDataLocal%\Programs\Taskbar system\unins000.dat
• %AppDataLocal%\Programs\Taskbar system\unins000.dat
• %AppDataLocal%\Programs\Taskbar system\unins000.exe
• %AppDataLocal%\Programs\Taskbar system\unins000.msg
• %AppDataLocal%\TaskbarSystem\TaskbarSystem.exe_Url_{random}\1.0.2.3\user.config
• %AppDataLocal%\TaskbarSystem\TaskbarSystem.exe_Url_{random}\1.0.2.3\{random}.newcfg
• %AppDataLocal%\TaskbarSystem\TaskbarSystem.exe_Url_{random}\1.0.2.3\{random}.tmp
• %User Temp%\Cab{random}.tmp
• %User Temp%\Tar{random}.tmp
• %User Temp%\is-{random}.tmp\{malware name}.tmp
• %Programs%\Taskbar system\Taskbar system.lnk

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Programs%フォルダは、ユーザのプログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu\Programs" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs" です。または、Windows Vista、7、8の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs" です。)

プログラムは、以下のプロセスを追加します。

• "%User Temp%\{malware name}.tmp" /SL5="{random},{malware path and name}"
• "%AppDataLocal%\Programs\Taskbar system\TaskbarSystem.exe"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Taskbar system = %AppDataLocal%\Programs\Taskbar system\TaskbarSystem.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
Inno Setup: Setup Version = 6.0.4 (u)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
Inno Setup: App Path = %AppDataLocal%\Programs\Taskbar system

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
InstallLocation = %AppDataLocal%\Programs\Taskbar system\

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
Inno Setup: Icon Group = Taskbar system

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
Inno Setup: User = {username}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
Inno Setup: Language = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
DisplayName = Taskbar system version 1.0.2.3

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
DisplayIcon = %AppDataLocal%\Programs\Taskbar system\TaskbarSystem.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
UninstallString = "%AppDataLocal%\Programs\Taskbar system\unins000.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
QuietUninstallString = "%AppDataLocal%\Programs\Taskbar system\unins000.exe" /SILENT

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
DisplayVersion = 1.0.2.3

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
Publisher = Taskbar system

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
NoModify = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
NoRepair = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
InstallDate = {YYYYMMDD}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
MajorVersion = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
MinorVersion = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
VersionMajor = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
VersionMinor = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1
EstimatedSize = {value}

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AdjustTask

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
{C40E1200-5BEC-410C-B3C5-F7B475729D42}_is1

プログラムは、以下の不正なWebサイトにアクセスします。

• https://stats.{BLOCKED}rsystem.com/
• https://update.{BLOCKED}rsystem.com/

プログラムは、以下を実行します。

• Installation folder can be changed. The following is the default used:
  • %AppDataLocal%\Programs\Taskbar system

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください