• Email
• Facebook
• Twitter
• Google+
• Linkedin

PUA_INSTALLCORE.GD

---

• マルウェアタイプ: 不要なアプリケーション
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\ICReinstall_{random}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

プログラムは、以下のファイルを作成します。

• %User Temp%\{random numbers 3}.log
• %User Temp%\{random numbers 4}.log
• %User Temp%\{random numbers 5}.log
• %User Temp%\{random numbers 6}.log
• %User Temp%\{random numbers 7}.log
• %User Temp%\{random numbers 8}.log
• %User Temp%\ish(random numbers 2}\bootstrap_28901.html
• %User Temp%\ish(random numbers 2}\css\ie6_main.css
• %User Temp%\ish(random numbers 2}\css\main.css
• %User Temp%\ish(random numbers 2}\css\sdk-ui\browse.css
• %User Temp%\ish(random numbers 2}\css\sdk-ui\button.css
• %User Temp%\ish(random numbers 2}\css\sdk-ui\checkbox.css
• %User Temp%\ish(random numbers 2}\css\sdk-ui\images\button-bg.png
• %User Temp%\ish(random numbers 2}\css\sdk-ui\images\progress-bg-corner.png
• %User Temp%\ish(random numbers 2}\css\sdk-ui\images\progress-bg.png
• %User Temp%\ish(random numbers 2}\css\sdk-ui\images\progress-bg2.png
• %User Temp%\ish(random numbers 2}\css\sdk-ui\progress-bar.css
• %User Temp%\ish(random numbers 2}\csshover3.htc
• %User Temp%\ish(random numbers 2}\dat\upd.DAT
• %User Temp%\ish(random numbers 2}\form.bmp.Mask
• %User Temp%\ish(random numbers 2}\images\Close.png
• %User Temp%\ish(random numbers 2}\images\Close_Hover.png
• %User Temp%\ish(random numbers 2}\images\Color_Button.png
• %User Temp%\ish(random numbers 2}\images\Color_Button_Hover.png
• %User Temp%\ish(random numbers 2}\images\Grey_Button.png
• %User Temp%\ish(random numbers 2}\images\Grey_Button_Hover.png
• %User Temp%\ish(random numbers 2}\images\Loader.gif
• %User Temp%\ish(random numbers 2}\images\Progress.png
• %User Temp%\ish(random numbers 2}\images\ProgressBar.png
• %User Temp%\ish(random numbers 2}\images\text-bg.png
• %User Temp%\ish(random numbers 2}\locale\DE.locale
• %User Temp%\ish(random numbers 2}\locale\EN.locale
• %User Temp%\ish(random numbers 2}\locale\ES.locale
• %User Temp%\ish(random numbers 2}\locale\FR.locale
• %User Temp%\ish(random numbers 2}\locale\IT.locale
• %User Temp%\ish(random numbers 2}\locale\PL.locale
• %User Temp%\ish(random numbers 2}\locale\PT.locale
• %User Temp%\ish(random numbers 2}\locale\RU.locale
• %User Temp%\ish(random numbers 2}\locale\UA.locale
• %Desktop%\Continue Download Manager Installation.lnk - shortcut to the dropped copy of itself
• %Program Files%\is{random numbers 9}.log

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ダウンロード活動

プログラムは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://s3.{BLOCKED}aws.com/Adlsoft/releases/DownloadManagerV2.exe

プログラムは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\is(random numbers 1}\{random numbers 10}_stp.EXE

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://rp.{BLOCKED}deoconverter.com/?pcrc={value}&v={value}
• http://os.{BLOCKED}li.org/CM_DS/?v={value}&c={value}
• http://os2.{BLOCKED}li.org/CM_DS/?v={value}&c={value}
• http://rp.{BLOCKED}li.org/?pcrc={value}&v={value}

プログラムは、以下のメッセージボックスを表示します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

プログラムが作成する以下のファイルは、作成された自身のコピーへのショートカットです。

• %Desktop%\Continue Download Manager Installation.lnk

プログラムがダウンロードして保存する以下のファイルは、「TROJ_VIRTUMON.AE」として検出されます。

• %User Temp%\is(random numbers 1}\{random numbers 10}_stp.EXE

このアプリケーションは、"MiPony"をインストールします。

プログラムは、ルートキット機能を備えていません。

プログラムは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください