PUA.Win64.PCHunter.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のコンポーネントファイルを作成します。

• {Malware Path}\{Malware Filename}ak.sys

自動実行方法

プログラムは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak

他のシステム変更

プログラムは、以下のファイルを削除します。

• {Malware Path}\{Malware Filename}ak.sys

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak
Type = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak
Start = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak
ImagePath = \??\{Malware Path}\{Malware Filename}ak.sys

バックドア活動

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

• http://www.ep{BLOCKED}t.com
• http://www.e{BLOCKED}t.com/PCHunter_StandardV1.4={MAC Address}
• http://www.e{BLOCKED}t.com/pchunter/pchunter_free
• {BLOCKED}.{BLOCKED}.158.231

情報漏えい

プログラムは、以下の情報を収集します。

• MAC Address
• Running Processes
• Computer Files
• User Accounts
• System Registries
• Process Modules
• Kernel Modules
• Startup Information
• Network Connections
• Firewall Rules

その他

プログラムは、以下を実行します。

• It loads the dropped file as a driver
  • {Malware Path}\{Malware Filename}ak.sys
• It displays the following image:
  
• It can view and display system process and process threads
• It can terminate, suspend and resume processes and threads
• It displays current network connections, including the local and remote addresses and state of TCP connections
• It displays and can edit system registry
• It displays and can delete files and folders
• It can view file properties information
• It displays autorun entries
• It can delete and edit autorun entries
• It displays and can delete user accounts
• It displays affected machine’s firewall rules
• It can delete a firewall rule

アドウェア活動

プログラムは、実行中に作成された以下のレジストリ キーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak\Enum

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{Malware Filename}ak

<補足>
インストール

プログラムは、以下のコンポーネントファイルを作成します。

• {マルウェアパス}\{マルウェアのファイル名}ak.sys

他のシステム変更

プログラムは、以下のファイルを削除します。

• {マルウェアパス}\{マルウェアファイルの名前}ak.sys

情報漏えい

プログラムは、以下の情報を収集します。

• MACアドレス
• 実行中のプロセス
• コンピュータファイル
• ユーザアカウント
• システムレジストリ
• プロセスモジュール
• カーネルモジュール
• スタートアップ情報
• ネットワーク接続
• ファイアウォール・ルール

その他

プログラムは、以下を実行します。

• 作成されたファイルをドライバとして読み込みます。
  • {マルウェアパス}\{マルウェアのファイル名}ak.sys
• 以下の画像を表示します。
  
• システムプロセスおよびプロセススレッドを閲覧 / 表示する可能性があります。
• プロセスおよびスレッドを強制終了、一時停止、再開させる可能性があります。
• ローカルアドレスやリモートアドレス、TCP 接続の状態など、現在のネットワーク接続を表示します。
• システムレジストリを表示 / 編集する可能性があります。
• ファイルやフォルダを表示 / 削除する可能性があります。
• ファイルのプロパティ情報を表示する可能性があります。
• 自動実行エントリを表示します。
• 自動実行エントリを削除 / 編集する可能性があります。
• ユーザアカウントを表示 / 削除する可能性があります。
• 影響を受けるコンピュータのファイアウォール・ルールを表示します。
• ファイアウォール・ルールを削除する可能性があります