PUA.Win64.OneStart.E

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %AppDataLocal%\OneStart.ai\OneStart\User Data\BrowserMetrics\BrowserMetrics-6318CDB1-E30.pma
• %AppDataLocal%\OneStart.ai\OneStart\User Data\component_crx_cache\metadata.json
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Crashpad\settings.dat
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Account Web Data
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Account Web Data-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Affiliation Database
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Affiliation Database-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache\Cache_Data\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache\Cache_Data\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache\Cache_Data\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache\Cache_Data\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache\Cache_Data\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\chrome_cart_db\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\chrome_cart_db\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\ClientCertificates\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\ClientCertificates\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\js\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\js\index-dir\the-real-index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\wasm\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\wasm\index-dir\the-real-index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\commerce_subscription_db\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\commerce_subscription_db\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnGraphiteCache\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnGraphiteCache\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnGraphiteCache\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnGraphiteCache\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnGraphiteCache\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnWebGPUCache\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnWebGPUCache\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnWebGPUCache\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnWebGPUCache\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnWebGPUCache\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\discounts_db\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\discounts_db\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Rules\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Rules\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Rules\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Rules\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Rules\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Scripts\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Scripts\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Scripts\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Scripts\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Scripts\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension State\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension State\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension State\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension State\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension State\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Favicons
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Favicons-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Google Profile.ico
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\GPUCache\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\GPUCache\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\GPUCache\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\GPUCache\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\GPUCache\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\History
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\History-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\InterestGroups
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\InterestGroups-wal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage\leveldb\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage\leveldb\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage\leveldb\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage\leveldb\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage\leveldb\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Login Data
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Login Data For Account
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Login Data For Account-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Login Data-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\Cookies
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\Cookies-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\Network Persistent State
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\NetworkDataMigrated
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\SCT Auditing Pending Reports
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\Trust Tokens
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network\Trust Tokens-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\parcel_tracking_db\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\parcel_tracking_db\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\PersistentOriginTrials\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\PersistentOriginTrials\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Preferences
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\PrivateAggregation
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\PrivateAggregation-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\README
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Safe Browsing Network\NetworkDataMigrated
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Safe Browsing Network\Safe Browsing Cookies
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Safe Browsing Network\Safe Browsing Cookies-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Secure Preferences
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SegmentInfoDB\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SegmentInfoDB\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SignalDB\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SignalDB\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SignalStorageConfigDB\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SignalStorageConfigDB\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Session Storage\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Session Storage\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Session Storage\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Session Storage\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Session Storage\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sessions\Session_13307043512173805
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary\cache\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary\cache\index-dir\the-real-index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary\db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary\db-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\SharedStorage
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\SharedStorage-wal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\metadata\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\metadata\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\metadata\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\metadata\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\metadata\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Site Characteristics Database\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Site Characteristics Database\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Site Characteristics Database\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Site Characteristics Database\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Site Characteristics Database\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data\LevelDB\000003.log
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data\LevelDB\CURRENT
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data\LevelDB\LOCK
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data\LevelDB\LOG
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data\LevelDB\MANIFEST-000002
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Top Sites
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Top Sites-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Web Data
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Web Data-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\WebStorage\QuotaManager
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\WebStorage\QuotaManager-journal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\DeferredBrowserMetrics\BrowserMetrics-6318CDBA-1330.pma
• %AppDataLocal%\OneStart.ai\OneStart\User Data\extensions_crx_cache\metadata.json
• %AppDataLocal%\OneStart.ai\OneStart\User Data\FileTypePolicies
• %AppDataLocal%\OneStart.ai\OneStart\User Data\First Run
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GraphiteDawnCache\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GraphiteDawnCache\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GraphiteDawnCache\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GraphiteDawnCache\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GraphiteDawnCache\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GrShaderCache\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GrShaderCache\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GrShaderCache\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GrShaderCache\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GrShaderCache\index
• %AppDataLocal%\OneStart.ai\OneStart\User Data\hyphen-data
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Last Version
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Local State
• %AppDataLocal%\OneStart.ai\OneStart\User Data\MEIPreload
• %AppDataLocal%\OneStart.ai\OneStart\User Data\segmentation_platform\ukm_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\segmentation_platform\ukm_db-wal
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ShaderCache\data_0
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ShaderCache\data_1
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ShaderCache\data_2
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ShaderCache\data_3
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ShaderCache\index

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

プログラムは、以下のプロセスを追加します。

• "{Malware file path}{Malware File Name}" {Chromium/Electron subprocess parameters used to spawn crash handlers, GPU and renderer processes, utility services, and auxiliary browser components responsible for networking, storage, and rendering tasks.}

プログラムは、以下のフォルダを作成します。

• %AppDataLocal%\OneStart.ai\OneStart\User Data\AmountExtractionHeuristicRegexes
• %AppDataLocal%\OneStart.ai\OneStart\User Data\AutofillStates
• %AppDataLocal%\OneStart.ai\OneStart\User Data\BrowserMetrics
• %AppDataLocal%\OneStart.ai\OneStart\User Data\CertificateRevocation
• %AppDataLocal%\OneStart.ai\OneStart\User Data\component_crx_cache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\CookieReadinessList
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Crashpad
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Crashpad\attachments
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Crashpad\reports
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Crowd Deny
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Cache\Cache_Data
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\chrome_cart_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\ClientCertificates
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\js
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\js\index-dir
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\wasm
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Code Cache\wasm\index-dir
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\commerce_subscription_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnGraphiteCache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\DawnWebGPUCache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\discounts_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Rules
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension Scripts
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Extension State
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\GPUCache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Local Storage\leveldb
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Network
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\parcel_tracking_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\PersistentOriginTrials
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Safe Browsing Network
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SegmentInfoDB
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SignalDB
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Segmentation Platform\SignalStorageConfigDB
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Session Storage
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sessions
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary\cache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Shared Dictionary\cache\index-dir
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\shared_proto_db\metadata
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Site Characteristics Database
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\Sync Data\LevelDB
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Default\WebStorage
• %AppDataLocal%\OneStart.ai\OneStart\User Data\DeferredBrowserMetrics
• %AppDataLocal%\OneStart.ai\OneStart\User Data\extensions_crx_cache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GraphiteDawnCache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\GrShaderCache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\OnDeviceHeadSuggestModel
• %AppDataLocal%\OneStart.ai\OneStart\User Data\OpenCookieDatabase
• %AppDataLocal%\OneStart.ai\OneStart\User Data\OptimizationHints
• %AppDataLocal%\OneStart.ai\OneStart\User Data\OriginTrials
• %AppDataLocal%\OneStart.ai\OneStart\User Data\PKIMetadata
• %AppDataLocal%\OneStart.ai\OneStart\User Data\PrivacySandboxAttestationsPreloaded
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ProbabilisticRevealTokenRegistry
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Safe Browsing
• %AppDataLocal%\OneStart.ai\OneStart\User Data\SafetyTips
• %AppDataLocal%\OneStart.ai\OneStart\User Data\segmentation_platform
• %AppDataLocal%\OneStart.ai\OneStart\User Data\segmentation_platform\ukm_db
• %AppDataLocal%\OneStart.ai\OneStart\User Data\ShaderCache
• %AppDataLocal%\OneStart.ai\OneStart\User Data\SSLErrorAssistant
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Subresource Filter
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Subresource Filter\Unindexed Rules
• %AppDataLocal%\OneStart.ai\OneStart\User Data\TpcdMetadata
• %AppDataLocal%\OneStart.ai\OneStart\User Data\TrustTokenKeyCommitments
• %AppDataLocal%\OneStart.ai\OneStart\User Data\Variations
• %AppDataLocal%\OneStart.ai\OneStart\User Data\WidevineCdm

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart
UsageStatsInSample = 00000001

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\BLBeacon
version = 136.0.7103.113

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\BLBeacon
state = 00000001

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\BLBeacon
failed_count = 00000000

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
extensions.ui.developer_mode = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
google.services.last_signed_in_username = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
storage_id_salt = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
google.services.account_id = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
safebrowsing.incidents_sent = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
pinned_tabs = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
search_provider_overrides = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
prefs.preference_reset_time = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
google.services.last_username = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
session.startup_urls = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
session.restore_on_startu = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
browser.show_home_button = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
homepage = {Random Charact

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
enterprise_signin.policy_recovery_token = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
homepage_is_newtabpage = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default
efault_search_provider_data.template_url_data = {Random Characters}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\StabilityMetrics
user_experience_metrics.stability.exited_cleanly = 00000000

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}
usagestats = 00000000

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}
metricsid =

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}
metricsid_installdate = 0

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}
metricsid_installdate = 0

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}
metricsid_enableddate = 0

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}
lastrun = {File timestamp}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\StabilityMetrics
user_experience_metrics.stability.exited_cleanly = 00000000

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\BLBeacon

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs\Default\
extensions.settings

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\StabilityMetrics

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
Update\ClientState\{GUID}

HKEY_CURRENT_USER\SOFTWARE\OneStart.ai\
OneStart\PreferenceMACs

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}rt.ai:443
• http://{BLOCKED}rtapi.com:443

マルウェアは、以下のパラメータを受け取ります。

• --type= - Process type (browser/renderer/gpu-process/utility/crashpad-handler)
• -user-data-dir= - User profile directory location
• -initial-client-data= - IPC handles for child processes
• -fallback-handler - Error recovery mode
• -no-periodic-tasks - Disable background tasks
• -no-pre-read-main-dll - Skip DLL pre-reading optimization
• -help - Display help message
• -version - Show version information
• -source= - Launch source identifier
• --disable-gpu-sandbox - Disable GPU process sandboxing
• --annotation= - Add process annotation to crash reports
• --attachment= - Attach file to crash reports
• --database= - Crash report database path
• --metrics-dir= - Metrics files directory
• --monitor-self - Run second crash handler
• --monitor-self-annotation= - Module annotation for handler
• --monitor-self-argument= - Arguments for second handler
• --no-identify-client-via-url - Disable client ID in upload URL
• --no-rate-limit - Disable crash upload rate limiting
• --no-upload-gzip - Disable gzip compression for uploads
• --pipe-name= - Named pipe for IPC communication
• --url= - Crash report upload URL
• /prefetch:{1-16} - Prefetch hint

<補足>
インストール

プログラムは、以下のプロセスを追加します。

• "{マルウェアのファイルパス}{マルウェアのファイル名}" {クラッシュハンドラ、GPUやレンダラのプロセス、ユーティリティサービス、ネットワーク、ストレージ、レンダリングなどのタスクを担う補助的なブラウザコンポーネントを生成するために用いられるChromium/Electronのサブプロセスパラメータ}

その他

プログラムは、以下のパラメータを受け取ります。

• --type= - プロセスタイプ（ブラウザ/レンダラ/GPUプロセス/ユーティリティ/crashpadハンドラ）
• -user-data-dir= - ユーザプロファイルディレクトリの場所
• -initial-client-data= - 子プロセスにおけるプロセス間通信（IPC）ハンドル
• -fallback-handler - エラーリカバリーモード
• -no-periodic-tasks - バックグラウンドのタスクを無効にする
• -no-pre-read-main-dll - 事前DLL読み込みによる最適化をスキップする
• -help - ヘルプメッセージを表示する
• -version - バージョン情報を表示する
• -source= - ソース識別子を起動する
• --disable-gpu-sandbox - GPUプロセスのサンドボックス化を無効にする
• --annotation= - クラッシュレポートにプロセス注釈を追加する
• --attachment= - クラッシュレポートにファイルを添付する
• --database= - クラッシュレポートデータベースのパス
• --metrics-dir= - メトリクスファイルのディレクトリ
• --monitor-self - 2番目のクラッシュハンドラを実行する
• --monitor-self-annotation= - ハンドラに対するモジュール注釈
• --monitor-self-argument= - 2番目のハンドラの引数
• --no-identify-client-via-url - アップロード先URL内でクライアントIDを無効にする
• --no-rate-limit - クラッシュレポートアップロード時のレート制限を無効にする
• --no-upload-gzip - アップロード時にgzip圧縮を無効にする
• --pipe-name= - IPCで用いられる名前付きパイプ
• --url= - クラッシュレポートのアップロード先URL
• /prefetch:{1-16} - プレフェッチに関するヒント