PUA.Win32.FusionCore.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%User Temp%\is-MKF18.tmp\bde94408bcd0323fd1c2be71ddc4f08be7855540.tmp" /SL5="$80148,23361245,121344,%User Temp%\bde94408bcd0323fd1c2be71ddc4f08be7855540.exe"
• %Program Files%\i-Funbox DevTeam\iFunBox.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\i-Funbox DevTeam\links
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\i-Funbox DevTeam
• %Program Files%\i-Funbox DevTeam
• %User Temp%\.iFunboxUpdated
• %Application Data%\iFunbox_UserCache\ifb_assets
• %Application Data%\iFunbox_UserCache
• %Application Data%\iFunbox_UserCache\app_downloads
• %User Temp%\is-E7KBR.tmp\_isetup
• %Program Files%\i-Funbox DevTeam\localstrings
• %Application Data%\iFunbox_UserCache\temp_files

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
iFunBox = "%Program Files%\i-Funbox DevTeam\ifunbox.exe /tray"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1

HKEY_CURRENT_USER\Software\i-FunBox.com\
i-FunBox\Preference

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\xf8\x06\x00\x00\x80\xb0\xe2u!\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFiles0000 = "\x00\x00\x00\x00\x00e\xcc\x80\xef\xad\xb0"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFilesHash = "\xedI\x92\x9eZ\x0e?'^\x8eN\xba\x86dV:ClY\xb9\x90\x8a\xed\xf0cT\x02\xf7e\x04"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
Inno Setup: Setup Version = "5.5.9 (u)"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
Inno Setup: App Path = "%Program Files%\i-Funbox DevTeam"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
InstallLocation = "%Program Files%\i-Funbox DevTeam"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
Inno Setup: Icon Group = "i-Funbox DevTeam"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
Inno Setup: User = "PEWPEWPEW"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
Inno Setup: Language = "en"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
DisplayName = "iFunbox (v3.0.3939.1352)"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
DisplayIcon = "%Program Files%\i-Funbox DevTeam\iFunbox.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
UninstallString = "%Program Files%\i-Funbox DevTeam\unins000.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
QuietUninstallString = "%Program Files%\i-Funbox DevTeam\unins000.exe /SILENT"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
DisplayVersion = "v3.0.3939.1352"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
Publisher = "iFunbox DevTeam"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
InstallDate = "20190612"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
iFunbox_is1
EstimatedSize = "25770"

HKEY_CURRENT_USER\Software\i-FunBox.com\
i-FunBox\Preference
instanceID = "58550f1e-8101-4644-9a12-78b1d8a89314"

HKEY_CURRENT_USER\Software\i-FunBox.com\
i-FunBox\Preference
version = "0003.0000.3939.1352"

HKEY_CURRENT_USER\Software\i-FunBox.com\
i-FunBox\Preference
First_Run = "1560403316"

HKEY_CURRENT_USER\Software\i-FunBox.com\
i-FunBox\Preference
Installed = "39391352"

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\RegFilesHash

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\RegFiles0000

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\Sequence

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\SessionHash

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\Owner

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run\
iFunBox Fast App Install Handler

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run\
iFunBox Price Watch

作成活動

マルウェアは、以下のファイルを作成します。

• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_ar.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-EC0K2.tmp
• %Program Files%\i-Funbox DevTeam\iFunboxUpdater.exe
• %Program Files%\i-Funbox DevTeam\links\page.ico
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_ro.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-EHD6O.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_hr.utf8
• %Program Files%\i-Funbox DevTeam\x64header.exe
• %Program Files%\i-Funbox DevTeam\localstrings\is-CDENP.tmp
• %Program Files%\i-Funbox DevTeam\exifext_x64.dll
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_fa.utf8
• %Program Files%\i-Funbox DevTeam\links\ifunbox.win32.checkupdate.url
• %Program Files%\i-Funbox DevTeam\is-ACMP8.tmp
• %User Temp%\is-E7KBR.tmp\nQEzLKcd.dll
• %System Root%\Users\Public\Desktop\iFunbox.lnk
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_nl.utf8
• %Program Files%\i-Funbox DevTeam\exiftool.exe
• %Program Files%\i-Funbox DevTeam\iFunBox.exe
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_ru.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-SGRD8.tmp
• %Program Files%\i-Funbox DevTeam\is-HELEQ.tmp
• %Program Files%\i-Funbox DevTeam\is-I00CO.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_tr.utf8
• %Program Files%\i-Funbox DevTeam\is-1CV89.tmp
• %Program Files%\i-Funbox DevTeam\is-R5GD6.tmp
• %Program Files%\i-Funbox DevTeam\updater.ini
• %Program Files%\i-Funbox DevTeam\localstrings\is-50UVG.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-9C65O.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-QQK64.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_es.utf8
• %Program Files%\i-Funbox DevTeam\iFunBox_x64.exe
• %User Temp%\is-E7KBR.tmp\exifext.dll
• %Program Files%\i-Funbox DevTeam\ffmpeg.exe
• %Program Files%\i-Funbox DevTeam\localstrings\is-O4N2V.tmp
• %Program Files%\i-Funbox DevTeam\links\ifunbox.win32.tutorial.url
• %Program Files%\i-Funbox DevTeam\is-Q6G2C.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-7BF44.tmp
• %Program Files%\i-Funbox DevTeam\is-67QMI.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-KPV3R.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_it.utf8
• %Program Files%\i-Funbox DevTeam\links\is-4TQCP.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-9TMTM.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_pt.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_he.utf8
• %Program Files%\i-Funbox DevTeam\is-D91HT.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-RKLTN.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_zh-tw.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-84P1K.tmp
• %Application Data%\iFunbox_UserCache\app_downloads\_atfsync.dat
• %Program Files%\i-Funbox DevTeam\links\is-F8DEQ.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-V4RRJ.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-8EKEG.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-TSKG8.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_ko.utf8
• %Program Files%\i-Funbox DevTeam\astcef.dll
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_no.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_de.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-CFLSN.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-4K207.tmp
• %Program Files%\i-Funbox DevTeam\unins000.dat
• %Program Files%\i-Funbox DevTeam\localstrings\is-9PJGN.tmp
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\i-Funbox DevTeam\Uninstall iFunbox.lnk
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_ja.utf8
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\i-Funbox DevTeam\iFunbox.lnk
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_zh-cn.utf8
• %Program Files%\i-Funbox DevTeam\is-7TJ6Q.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_th.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-AOI6Q.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_pl.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_da.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_fr.utf8
• %Program Files%\i-Funbox DevTeam\is-TS31F.tmp
• %Program Files%\i-Funbox DevTeam\is-GPC8R.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-D0ASB.tmp
• %Program Files%\i-Funbox DevTeam\vfwcef.dat
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_vi.utf8
• %Program Files%\i-Funbox DevTeam\localstrings\is-3BDQN.tmp
• %Program Files%\i-Funbox DevTeam\is-7TOUD.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\localstrings_el.utf8
• %Program Files%\i-Funbox DevTeam\unins000.exe
• %Program Files%\i-Funbox DevTeam\exifext.dll
• %Program Files%\i-Funbox DevTeam\links\is-3N72K.tmp
• %Program Files%\i-Funbox DevTeam\localstrings\is-J90QR.tmp

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://stat.{BLOCKED}ox.com/{random path}
• http://www.{BLOCKED}-analytics.com/__utm.gif?{random characters}
• http://store.{BLOCKED}ox.com/en/index.html?{random characters}
• http://www.{BLOCKED}-analytics.com/analytics.js
• http://store.{BLOCKED}ox.com/imgs/logo32.png
• http://store.{BLOCKED}ox.com/imgs/search.png
• http://store.{BLOCKED}ox.com/imgs/banner_nav.png
• http://stat.{BLOCKED}ox.com/ver_3.0_3939_1352.htm
• http://dl.{BLOCKED}ox.com/updates/ifunbox.win/package.xml?ver=3.0.3939.1352