PUA.Win32.InstallCore.MANHOBWZ

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

プログラムは、特定のWebサイトにアクセスし、情報を送受信します。 プログラムは、特定のWebサイトに誘導します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\is{random string}\css\ie6_main.css
• %User Temp%\is{random string}\css\main.css
• %User Temp%\is{random string}\css\sdk-ui\browse.css
• %User Temp%\is{random string}\css\sdk-ui\button.css
• %User Temp%\is{random string}\css\sdk-ui\checkbox.css
• %User Temp%\is{random string}\css\sdk-ui\images\button-bg.png
• %User Temp%\is{random string}\css\sdk-ui\images\progress-bg-corner.png
• %User Temp%\is{random string}\css\sdk-ui\images\progress-bg.png
• %User Temp%\is{random string}\css\sdk-ui\images\progress-bg2.png
• %User Temp%\is{random string}\css\sdk-ui\progress-bar.css
• %User Temp%\is{random string}\csshover3.htc
• %User Temp%\is{random string}\dat\upd.DAT
• %User Temp%\is{random string}\form.bmp.Mask
• %User Temp%\is{random string}\images\BG.png
• %User Temp%\is{random string}\images\Close.png
• %User Temp%\is{random string}\images\Close_Hover.png
• %User Temp%\is{random string}\images\Color_Button.png
• %User Temp%\is{random string}\images\Color_Button_Hover.png
• %User Temp%\is{random string}\images\Grey_Button.png
• %User Temp%\is{random string}\images\Grey_Button_Hover.png
• %User Temp%\is{random string}\images\Loader.gif
• %User Temp%\is{random string}\images\Logo.png
• %User Temp%\is{random string}\images\Progress.png
• %User Temp%\is{random string}\images\ProgressBar.png
• %User Temp%\is{random string}\images\text-bg.png
• %User Temp%\is{random string}\locale\{Language Code}.locale
• %User Temp%\is{random string}\skin.7z
• %User Temp%\ICReinstall_{malware filename}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = 1

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = 10

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = 100

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = 20

ダウンロード活動

プログラムは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://s3.{BLOCKED}aws.com/Tweaks/distros/FileOpenerSetupG.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

• http://os.{BLOCKED}-softwaredownloads.com/CM/?v={Version}&c={random number}
• http://os2.{BLOCKED}-softwaredownloads.com/Aff-AD/?v={Version}&c={random number}
• http://rp.{BLOCKED}-softwaredownloads.com/?pcrc={random number}
• http://d.{BLOCKED}d.com/widget/render/hash/{hash}

プログラムは、以下のWebサイトに誘導します。

• http://www.{BLOCKED}ile-opener.com/recommended-products.html?&chnl=file-opener&iv=0

プログラムは、以下を実行します。

• It displays the following progress window during installation:
  

ただし、情報公開日現在、このWebサイトにはアクセスできません。