PUA.Win32.WebCompanion.AT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\mshta.exe "%User Temp%\HYDE3CA.tmp.1566925428\HTA\index.hta?utorrent" "{malware file path and name}" /LOG "%User Temp%\HYDE3CA.tmp.1566925428\index.hta.log" /PID "2908" /CID "gw6cHOnBFxKQZX51" /VERSION "111258682" /BUCKET "0" /SSB "1" /COUNTRY "US" /OS "6.1" /BROWSERS "\"%System Root%\Program Files\Mozilla Firefox\firefox.exe\",\"%Program Files%\Google\Chrome\Application\chrome.exe\",%System Root%\Program Files\Internet Explorer\iexplore.exe,\"%System Root%\Program Files\VMware\VMware Tools\VMwareHostOpen.exe\" --default http" /ARCHITECTURE "64" /LANG "en" /USERNAME "{username}" /SID "S-1-5-21-2407829820-1079796033-203259571-500" /CLIENT "utorrent"
• uTorrent.exe /NOINSTALL /BRINGTOFRONT
• "%System%\cscript.exe" "shell_scripts/check_if_cscript_is_working.js"
• cscript "shell_scripts/check_if_cscript_is_working.js"
• "%System%\PING.EXE" 8.8.8.8 -n 2 -w 500
• ping 8.8.8.8 -n 2 -w 500
• "%System%\cscript.exe" shell_scripts/shell_ping_after_close.js "http://i-50.{BLOCKED}0.XYZ.bench.utorrent.com/e?{random characters}"
• cscript shell_scripts/shell_ping_after_close.js "http://i-50.{BLOCKED}0.XYZ.bench.utorrent.com/e?{random characters}"
• "%Application Data%\uTorrent\updates\3.5.0_44090\utorrentie.exe" uTorrent_2128_00AE28B0_1295390458 \xc2\xb5Torrent4823DF041B09 uTorrent
• "%Application Data%\uTorrent\updates\3.5.0_44090\utorrentie.exe" uTorrent_2128_00AE2650_2136826985 \xc2\xb5Torrent4823DF041B09 uTorrent
• "%Application Data%\uTorrent\updates\3.5.0_44090\utorrentie.exe" uTorrent_2128_00AE2650_1514118860 \xc2\xb5Torrent4823DF041B09 uTorrent
• "%Application Data%\uTorrent\updates\3.5.0_44090\utorrentie.exe" uTorrent_2128_00AE2650_1469520665 \xc2\xb5Torrent4823DF041B09 uTorrent

マルウェアは、以下のフォルダを作成します。

• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n
• %Application Data%\uTorrent
• %System Root%\Users
• %User Profile%\AppData
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B
• %Application Data%\uTorrent\updates
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\shell_scripts
• %Application Data%\uTorrent\share
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\styles
• %Application Data%\uTorrent\updates\3.5.0_44090
• %User Temp%\HYDE3CA.tmp.1566925428\HTA
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\images
• %User Temp%\HYDE3CA.tmp.1566925428
• %Application Data%\uTorrent\apps
• %Application Data%\uTorrent\dlimagecache
• %Application Data%\uTorrent\apps\72F0D3E2141065DACF6134D07A06A2DF20590748
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\scripts

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
uTorrent = "%Application Data%\uTorrent\uTorrent.exe /MINIMIZED"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\uTorrent\apps\featuredContent.btapp.32294.tmp
• %Application Data%\uTorrent\apps\plus.btapp.32294.tmp

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
FalconBetaAccount

HKEY_CURRENT_USER\Software\BitTorrent

HKEY_CURRENT_USER\Software\Classes\
.torrent

HKEY_CURRENT_USER\Software\Classes\
uTorrent\DefaultIcon

HKEY_CLASSES_ROOT\MIME\Database\
Content Type\application/x-bittorrent

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent

HKEY_CURRENT_USER\Software\Classes\
uTorrent\shell\open\
command

HKEY_CURRENT_USER\Software\Classes\
uTorrent\Content Type

HKEY_CURRENT_USER\Software\Classes\
.torrent\OpenWithProgids

HKEY_CURRENT_USER\Software\Classes\
Magnet

HKEY_CURRENT_USER\Software\Classes\
Magnet\shell\open\
command

HKEY_CURRENT_USER\Software\Classes\
Magnet\DefaultIcon

HKEY_CURRENT_USER\Software\Classes\
bittorrent

HKEY_CURRENT_USER\Software\Classes\
bittorrent\shell\open\
command

HKEY_CURRENT_USER\Software\Classes\
bittorrent\DefaultIcon

HKEY_CURRENT_USER\Software\Classes\
.btapp

HKEY_CLASSES_ROOT\MIME\Database\
Content Type\application/x-bittorrent-app

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-app

HKEY_CURRENT_USER\Software\Classes\
.btskin

HKEY_CLASSES_ROOT\MIME\Database\
Content Type\application/x-bittorrent-skin

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-skin

HKEY_CURRENT_USER\Software\Classes\
.btinstall

HKEY_CLASSES_ROOT\MIME\Database\
Content Type\application/x-bittorrent-appinst

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-appinst

HKEY_CURRENT_USER\Software\Classes\
.btkey

HKEY_CLASSES_ROOT\MIME\Database\
Content Type\application/x-bittorrent-key

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-key

HKEY_CURRENT_USER\Software\Classes\
.btsearch\OpenWithProgids

HKEY_CURRENT_USER\Software\Classes\
Applications\uTorrent.exe\shell

HKEY_CURRENT_USER\Software\Classes\
Applications\uTorrent.exe\shell\
open\command

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent

HKEY_CURRENT_USER\Software\BitTorrent\
uTorrent

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
FalconBetaAccount
remote_access_client_id = "4515082872"

HKEY_CURRENT_USER\Software\BitTorrent
computerID = "\x95\xaa\x8bx\x83\x0e\x9c\x1c\xe9\xc1\x17\x12\x90e~u6;\xb2QR\xdf\x8b9"

HKEY_CURRENT_USER\Software\Classes\
.torrent
(Default) = "uTorrent"

HKEY_CURRENT_USER\Software\Classes\
uTorrent\DefaultIcon
(Default) = "%Application Data%\uTorrent\maindoc.ico"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "12"

HKEY_CURRENT_USER\Software\Classes\
.torrent
Content Type = "application/x-bittorrent"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-bittorrent
Extension = ".torrent"

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent
Extension = ".torrent"

HKEY_CURRENT_USER\Software\Classes\
uTorrent\shell\open\
command
(Default) = "%Application Data%\uTorrent\uTorrent.exe %1 /SHELLASSOC"

HKEY_CURRENT_USER\Software\Classes\
uTorrent\shell
(Default) = "open"

HKEY_CURRENT_USER\Software\Classes\
uTorrent\Content Type
(Default) = "application/x-bittorrent"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "13"

HKEY_CURRENT_USER\Software\Classes\
.torrent\OpenWithProgids
uTorrent = ""

HKEY_CURRENT_USER\Software\Classes\
Magnet
(Default) = "Magnet URI"

HKEY_CURRENT_USER\Software\Classes\
Magnet
URL Protocol = ""

HKEY_CURRENT_USER\Software\Classes\
Magnet
Content Type = "application/x-magnet"

HKEY_CURRENT_USER\Software\Classes\
Magnet\shell\open\
command
(Default) = "%Application Data%\uTorrent\uTorrent.exe %1 /SHELLASSOC"

HKEY_CURRENT_USER\Software\Classes\
Magnet\shell
(Default) = "open"

HKEY_CURRENT_USER\Software\Classes\
Magnet\DefaultIcon
(Default) = "%Application Data%\uTorrent\maindoc.ico"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "16"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "17"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "18"

HKEY_CURRENT_USER\Software\Classes\
bittorrent
(Default) = "bittorrent URI"

HKEY_CURRENT_USER\Software\Classes\
bittorrent
URL Protocol = ""

HKEY_CURRENT_USER\Software\Classes\
bittorrent
Content Type = "application/x-bittorrent-protocol"

HKEY_CURRENT_USER\Software\Classes\
bittorrent\shell\open\
command
(Default) = "%Application Data%\uTorrent\uTorrent.exe %1 /SHELLASSOC"

HKEY_CURRENT_USER\Software\Classes\
bittorrent\shell
(Default) = "open"

HKEY_CURRENT_USER\Software\Classes\
bittorrent\DefaultIcon
(Default) = "%Application Data%\uTorrent\maindoc.ico"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "19"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "20"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "21"

HKEY_CURRENT_USER\Software\Classes\
.btapp
(Default) = "uTorrent"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "22"

HKEY_CURRENT_USER\Software\Classes\
.btapp
Content Type = "application/x-bittorrent-app"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-bittorrent-app
Extension = ".btapp"

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-app
Extension = ".btapp"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "23"

HKEY_CURRENT_USER\Software\Classes\
.btskin
(Default) = "uTorrent"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "24"

HKEY_CURRENT_USER\Software\Classes\
.btskin
Content Type = "application/x-bittorrent-skin"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-bittorrent-skin
Extension = ".btskin"

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-skin
Extension = ".btskin"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "25"

HKEY_CURRENT_USER\Software\Classes\
.btinstall
(Default) = "uTorrent"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "26"

HKEY_CURRENT_USER\Software\Classes\
.btinstall
Content Type = "application/x-bittorrent-appinst"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-bittorrent-appinst
Extension = ".btinstall"

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-appinst
Extension = ".btinstall"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "27"

HKEY_CURRENT_USER\Software\Classes\
.btkey
(Default) = "uTorrent"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "28"

HKEY_CURRENT_USER\Software\Classes\
.btkey
Content Type = "application/x-bittorrent-key"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-bittorrent-key
Extension = ".btkey"

HKEY_CURRENT_USER\Software\Classes\
MIME\Database\Content Type\
application/x-bittorrent-key
Extension = ".btkey"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
GlobalAssocChangedCounter = "29"

HKEY_CURRENT_USER\Software\Classes\
.btsearch\OpenWithProgids
uTorrent = ""

HKEY_CURRENT_USER\Software\Classes\
Applications\uTorrent.exe\shell
(Default) = "open"

HKEY_CURRENT_USER\Software\Classes\
Applications\uTorrent.exe\shell\
open\command
(Default) = "%Application Data%\uTorrent\uTorrent.exe %1 /SHELLASSOC"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
DisplayIcon = "%Application Data%\uTorrent\uTorrent.exe,0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
DisplayName = "\xc2\xb5Torrent"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
DisplayVersion = "3.5.0.44090"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
UninstallString = "%Application Data%\uTorrent\uTorrent.exe /UNINSTALL"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
InstallLocation = "%Application Data%\uTorrent"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
VersionMajor = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
MajorVersion = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
VersionMinor = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
MinorVersion = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
NoModify = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
NoRepair = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
URLInfoAbout = "http://www.{BLOCKED}nt.com"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
uTorrent
Publisher = "BitTorrent Inc."

HKEY_CURRENT_USER\Software\BitTorrent\
uTorrent
Revision = "44090"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\pt.json
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\en.json
• %Application Data%\uTorrent\apps\featuredContent.btapp
• %Application Data%\uTorrent\apps\player.btapp
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\de.json
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\vid_thumb.jpg
• %Application Data%\uTorrent\dht.dat.new
• %Application Data%\uTorrent\toolbar.benc.old
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\scripts\uninstall.js
• %Application Data%\uTorrent\updates\3.5.0_44090\utorrentie.exe
• %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
• %Application Data%\uTorrent\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\index.js
• %Application Data%\uTorrent\updates.dat
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\br.json
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\shell_scripts\shell_install_offer.js
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\images\main_icon.png
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\ko.json
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\ru.json
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\scripts\initialize.js
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\images\main_utorrent.ico
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\images\bt_icon_48px.png
• %Application Data%\uTorrent\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\index.html
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\styles\installer.css
• %Application Data%\uTorrent\updates\3.5.0_44090.exe
• %Application Data%\uTorrent\maindoc.ico
• %Desktop%\xc2\xb5Torrent.lnk
• %Application Data%\uTorrent\settings.dat
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\images\main_bittorrent.ico
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\fr.json
• %Application Data%\uTorrent\dht_feed.dat.old
• %Application Data%\uTorrent\dht.dat.old
• %Application Data%\uTorrent\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\icon.bmp
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\index.html
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\info_icon.png
• %Start Menu%\xc2\xb5Torrent.lnk
• %User Temp%\utt7263.tmp.old
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\shell_scripts\shell_ping_after_close.js
• %Application Data%\uTorrent\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\btapp
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\empty_movie.gif
• %Application Data%\uTorrent\uTorrent.exe
• %Application Data%\uTorrent\utorrent.lng
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\index.hta
• %Application Data%\uTorrent\apps\welcome-upsell.btapp
• %Application Data%\uTorrent\apps\featuredContent.btapp.new
• %Application Data%\uTorrent\apps\plus.btapp
• %Application Data%\uTorrent\rss.dat.old
• %Application Data%\uTorrent\toolbar.benc.new
• %Application Data%\uTorrent\dht_feed.dat
• %Application Data%\uTorrent\toolbar.benc
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\scripts\es5-shim.js
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\styles\common.css
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\btapp
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\uninstall.hta
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\it.json
• %Application Data%\uTorrent\dht_feed.dat.new
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\i18n\es.json
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\images\loading.gif
• %Application Data%\uTorrent\apps\plus.btapp.new
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\shell_scripts\check_if_cscript_is_working.js
• %Application Data%\uTorrent\settings.dat.new
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\scripts\common.js
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\remote\main.js
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\main.css
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\xc2\xb5Torrent.lnk
• %Application Data%\uTorrent\rss.dat
• %Application Data%\uTorrent\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\x.png
• %Application Data%\uTorrent\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\main.css
• %Application Data%\uTorrent\rss.dat.new
• %User Temp%\utt7263.tmp.new
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\scripts\install.js
• %Application Data%\uTorrent\settings.dat.old
• %User Temp%\HYDE3CA.tmp.1566925428\HTA\install.1566925428.zip
• %Application Data%\uTorrent\dht.dat
• %User Temp%\HYDE3CA.tmp.1566925428\index.hta.log
• %Application Data%\uTorrent\toolbar_offer.benc

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://i-50.{BLOCKED}0.xyz.bench.utorrent.com/e?i=50
• http://download-lb.{BLOCKED}nt.com/{random path}
• http://i-21.{BLOCKED}0.ut.bench.utorrent.com/e?i=21
• http://update.{BLOCKED}nt.com/installoffer.php?{random characters}
• http://update.{BLOCKED}nt.li/installstats.php?{random characters}
• http://utclient.{BLOCKED}nt.com/pro/{BLOCKED}nt/index.html
• http://apps.{BLOCKED}rent.com/utorrent-onboarding/welcome-upsell.btapp
• http://now.{BLOCKED}t.co/inclient
• http://apps.{BLOCKED}rent.com/utorrent-onboarding/player.btapp
• http://{BLOCKED}nt.com/download/langpacks/dl.php?{random characters}
• http://www.{BLOCKED}nt.com/download/langpacks/dl.php?{random characters}
• http://www.{BLOCKED}nt.com/scripts/dl.php?{random characters}
• http://apps.{BLOCKED}rent.com/utorrent-onboarding/player.btapp?{random characters}
• http://apps.{BLOCKED}rent.com/utorrent-onboarding/welcome-upsell.btapp?{random characters}
• http://i-44.{BLOCKED}0.ut.bench.utorrent.com/e?i=44
• http://i-29.{BLOCKED}0.ut.bench.utorrent.com/e?i=29
• http://cdn.{BLOCKED}p.bittorrent.com/control/tags/ut.json
• http://i-32.{BLOCKED}0.ut.bench.utorrent.com/e?i=32
• http://i-49.{BLOCKED}0.ut.bench.utorrent.com/e?i=49
• http://i-38.{BLOCKED}0.ut.bench.utorrent.com/e?i=38
• http://cdn.{BLOCKED}p.bittorrent.com/control/feature/tags/ut.json
• http://i-43.{BLOCKED}0.ut.bench.utorrent.com/e?i=43
• http://router.{BLOCKED}rent.com
• http://router.{BLOCKED}nt.com
• http://update.{BLOCKED}rent.com
• {BLOCKED}207.170
• {BLOCKED}.191.76
• {BLOCKED}.191.22
• {BLOCKED}108.187
• {BLOCKED}16.245
• {BLOCKED}.71.129
• {BLOCKED}.143.207
• {BLOCKED}.184.153
• {BLOCKED}.138.48
• {BLOCKED}.53.82
• {BLOCKED}.139.157
• {BLOCKED}.23.131
• {BLOCKED}.237.71
• {BLOCKED}.62.8
• {BLOCKED}.190.64
• {BLOCKED}.188.65
• {BLOCKED}154.128
• {BLOCKED}.254.78
• {BLOCKED}183.129
• {BLOCKED}99.226
• {BLOCKED}.103.139
• {BLOCKED}72.62
• {BLOCKED}.142.157
• {BLOCKED}.61.28
• {BLOCKED}88.145
• {BLOCKED}.226.177
• {BLOCKED}221.16
• {BLOCKED}2.54.119
• {BLOCKED}7.92.113
• {BLOCKED}.163.185
• {BLOCKED}5.225.118
• {BLOCKED}.28.165
• {BLOCKED}3.120.9
• {BLOCKED}3.130.228
• {BLOCKED}5.163.200
• {BLOCKED}4.121.100
• {BLOCKED}8.121.11
• {BLOCKED}8.47.194
• {BLOCKED}6.164.220
• {BLOCKED}166.143
• {BLOCKED}1.167.250
• {BLOCKED}.177.86
• {BLOCKED}2.228.141
• {BLOCKED}5.47.78

このウイルス情報は、自動解析システムにより作成されました。