解析者: Mohammed Malubay   
 別名:

N/A;

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    潜在的に迷惑なアプリケーション

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 1,956,576 bytes
タイプ EXE
発見日 2021年1月27日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

  • %Application Data%\BitTorrent\BitTorrent.exe
  • %Application Data%\BitTorrent\bittorrent.lng
  • %Application Data%\BitTorrent\bittorrent.lng.new
  • %Application Data%\BitTorrent\settings.dat.new
  • %Application Data%\BitTorrent\updates.dat
  • %Application Data%\Microsoft\Windows\Start Menu\BitTorrent.lnk
  • %Desktop%\BitTorrent.lnk
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\br.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\de.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\en.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\es.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\fr.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\it.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\ko.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\pt.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\ru.json
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\bt_icon_48px.png
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\loading.gif
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\main_bittorrent.ico
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\main_icon.png
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\main_utorrent.ico
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\index.hta
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\install.{Random Numbers}.zip
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\common.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\es5-shim.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\initialize.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\install.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\uninstall.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\shell_scripts\check_if_cscript_is_working.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\shell_scripts\shell_install_offer.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\shell_scripts\shell_ping_after_close.js
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\styles\common.css
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\styles\installer.css
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\uninstall.hta
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\index.hta.log
  • %User Temp%\{Random Characters}.tmp.{Random Numbers}\sideLog.log
  • C:\hydra_tmp_{Random Numbers}\BitTorrent.lnk

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

  • "%System%\mshta.exe" "%User Temp%\{Random Characters}.tmp.{Random Numbers}\index.hta.log" /PID "{PID of running installer}" /CID "{Random Characters}" /VERSION "256619297" /BUCKET "0" /SSB "15" /COUNTRY "{Country of Machine}" /OS "6.1" /BROWSERS "{Browsers available in the machine}" --default http" /ARCHITECTURE "{Machine Architecture}" /LANG "{Machine Language}" /USERNAME "{User Name}" /SID "{SID}" /USERLANG "{Selected Language}" /CLIENT "bittorrent"
  • "%System%\cscript.exe" "shell_scripts/check_if_cscript_is_working.js"
  • "%System%\PING.EXE" 8.8.8.8 -n 2 -w 500
  • "%System%\cscript.exe" shell_scripts/shell_ping_after_close.js "http://i-50.b-000.XYZ.{BLOCKED}h.{BLOCKED}nt.com/e?i=50&e={Random Characters}"
  • "%System%\cscript.exe" shell_scripts/shell_install_offer.js "%User Temp%/{Random Characters}.tmp.{Random Numbers}/sideLog.log" "lavasoft_securesearch" "http://webcompanion.com/nano_download.php?partner=BT170901" "--silent%20--partner%3DBT170901%20--homepage%3D11%20--search%3D7" "0" "{User name}" "{User name}"

自動実行方法

プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BitTorrent = %APPDATA%\BitTorrent\BitTorrent.exe

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe
shell = open

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell
open = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open\
command
(Default) = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
DisplayName = BitTorrent

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
DisplayVersion = {BLOCKED}.{BLOCKED}.5.45857

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
DisplayIcon = %APPDATA%\BitTorrent\BitTorrent.exe,0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
UninstallString = "%APPDATA%\BitTorrent\BitTorrent.exe" /UNINSTALL

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
InstallLocation = %APPDATA%\BitTorrent

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
URLInfoAbout = http://www.{BLOCKED}rent.com/

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
Publisher = BitTorrent Inc.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
VersionMajor = 7

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
MajorVersion = 7

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
VersionMinor = 10

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
MinorVersion = 10

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
NoModify = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
NoRepair = 1

HKEY_USERS\{SID}_CLASSES\.btapp
(Default) = BitTorrent

HKEY_USERS\{SID}_CLASSES\.btapp
Content Type = application/x-bittorrent-app

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-app
Extension = .btapp

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\Content Type
(Default) = application/x-bittorrent-app

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\.btinstall
(Default) = BitTorrent

HKEY_USERS\{SID}_CLASSES\.btinstall
Content Type = application/x-bittorrent-appinst

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-appinst
Extension = .btinstall

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\Content Type
(Default) = application/x-bittorrent-appinst

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\.btkey
(Default) = BitTorrent

HKEY_USERS\{SID}_CLASSES\.btkey
Content Type = application/x-bittorrent-key

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-key
Extension = .btkey

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\Content Type
(Default) = application/x-bittorrent-key

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\.btskin
BitTorrent =

HKEY_USERS\{SID}_CLASSES\.btskin
Content Type = application/x-bittorrent-skin

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-skin
Extension = .btskin

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\Content Type
(Default) = application/x-bittorrent-skin

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\bittorrent
(Default) = bittorrent URI

HKEY_USERS\{SID}_CLASSES\bittorrent
URL Protocol =

HKEY_USERS\{SID}_CLASSES\bittorrent\
Content Type
(Default) = application/x-bittorrent

HKEY_USERS\{SID}_CLASSES\bittorrent
Content Type = application/x-bittorrent-protocol

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\bittorrent\
DefaultIcon
(Default) = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell\open\command
(Default) = "%APPDATA%\BitTorrent\BitTorrent.exe" %1 /SHELLASSOC

HKEY_USERS\{SID}_CLASSES\utorrent
(Default) = utorrent URI

HKEY_USERS\{SID}_CLASSES\utorrent
URL Protocol =

HKEY_USERS\{SID}_CLASSES\utorrent\
Content Type
(Default) = application/x-bittorrent

HKEY_USERS\{SID}_CLASSES\utorrent
Content Type = application/x-bittorrent-protocol

HKEY_USERS\{SID}_CLASSES\utorrent\
shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\utorrent\
DefaultIcon
(Default) = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\utorrent\
shell\open\command
(Default) = "%APPDATA%\BitTorrent\BitTorrent.exe" %1 /SHELLASSOC

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open\
command

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btapp

HKEY_USERS\{SID}_CLASSES\MIME

HKEY_USERS\{SID}_CLASSES\MIME\
Database

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-app

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\.btinstall

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-appinst

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-key

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\.btskin

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-skin

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\bittorrent

HKEY_USERS\{SID}_CLASSES\bittorrent\
Content Type

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell

HKEY_USERS\{SID}_CLASSES\bittorrent\
DefaultIcon

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell\open

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell\open\command

HKEY_USERS\{SID}_CLASSES\utorrent

HKEY_USERS\{SID}_CLASSES\utorrent\
Content Type

HKEY_USERS\{SID}_CLASSES\utorrent\
shell

HKEY_USERS\{SID}_CLASSES\utorrent\
DefaultIcon

HKEY_USERS\{SID}_CLASSES\utorrent\
shell\open

HKEY_USERS\{SID}_CLASSES\utorrent\
shell\open\command

プログラムは、以下の不正なWebサイトにアクセスします。

  • {BLOCKED}i.com
  • i-50.b-000.XYZ.{BLOCKED}h.{BLOCKED}nt.com
  • {BLOCKED}panion.com

プログラムは、以下を実行します。

  • Opens a new browser tab/window of the following URL:
    • https://www.bittorrent.com/prodnews/?v={Random Characters}

  対応方法

対応検索エンジン: 9.800
SSAPI パターンバージョン: 2.375.00
SSAPI パターンリリース日: 2021年1月28日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

自身のアンインストールオプションを使用し、「PUA.Win32.BitTorrent.A」を削除します。

[ 詳細 ]
マルウェアのプロセスの削除

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PUA.Win32.BitTorrent.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください