PUA.Win32.IfueFix.MG

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\bcdboot.exe → Genuine Microsoft Windows 8 Boot Configuration Data Boot Tool (v6.2.9200.16384) used for UEFI/BIOS boot environment initialization
• %User Temp%\bcdedit.exe → Genuine Microsoft Windows 8 Boot Configuration Data Editor (v6.2.9200.16384) used for modifying boot configuration stores
• %User Temp%\bootsect.exe → Genuine Microsoft Windows 8 Boot Sector Manipulation Tool (v6.2.9200.16384) used for updating volume boot codes
• %User Temp%\MountESP.exe → 32-bit administrative helper utility authored by clonecd @MoHong used to mount the hidden EFI System Partition (ESP) using DefineDosDeviceA
• %User Temp%\MountESP64.exe → 64-bit administrative helper utility authored by clonecd @MoHong used to mount the hidden EFI System Partition (ESP) on x64 systems
• %User Temp%\MSVFW32.DLL → Genuine Microsoft Windows Server 2003 SP2 Video for Windows system library (v5.2.3790.3959)
• %User Temp%\runuefix.exe → Primary 32-bit graphical orchestrator compiled with Easy Language (易语言) and packed with UPX that coordinates ESP mounting and BCD repair routines

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

• "{malware path}\{malware name}" → Initial 7-Zip SFX container executed to extract payload files
• "%User Temp%\runuefix.exe" → Main GUI process executed automatically by the 7-Zip SFX wrapper
• "%System%\cmd.exe" /k @ECHO 提示： 控制启动管理器:bcdedit 主启动代码更新:bootsect 启动文件修复：bcdboot → Interactive command prompt spawned when clicking the "命令提示符" button
• "%User Temp%\MountESP.EXE" → Helper process spawned when clicking the "挂载ESP分区" button to mount the EFI partition on 32-bit systems (or MountESP64.EXE on 64-bit systems)
• "%User Temp%\bcdboot.exe" C:\Windows /l {selected language} /s {Drive}: /f uefi → Boot repair command spawned when clicking the "开始修复" button

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Multimedia\DrawDib
{display_driver} {resolution}x{depth}(BGR 0) = `31,31,31,31`