PUA.Win32.Yantai.BB

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %Desktop%\ËÙÀË×ÀÃæ.lnk
• %Desktop%\桔子浏览器.lnk
• %Desktop%\½Û×Óä¯ÀÀÆ÷.lnk

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

プログラムは、以下のプロセスを追加します。

• %Program Files%\SuLangDesk\Slky.exe
• %Program Files%\SuLangDesk\SlDrv.exe -uninstall
• %Program Files%\SuLangDesk\SlShld.exe
• %Program Files%\SuLangDesk\SLDesk.exe
• %Program Files%\SuLangDesk\SulangWrapper.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プログラムは、以下のフォルダを作成します。

• %Program Files%\SuLangDesk → where it stores its installation files
• %Application Data%\JuziBrowser → where it stores its bundled web browser program
• %User Temp%\{random hex}.tmp

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKCU
Software = SulangDesk

HKCU
Software = JuziBrowser

HKLM
Software = JuziBrowser

感染活動

マルウェアは、感染コンピュータ上にフォルダやファイルに偽装したショートカットファイル（拡張子「LNK」）を作成して自身のコピーへ誘導します。

その他

プログラムは、以下の不正なWebサイトにアクセスします。

• http://log.{BLOCKED}i.net/log.php?type=installEnd&ver=1.0.8.9&cid=99183870_u2_hao
• http://tj.{BLOCKED}.com/status.php
• http://tj.{BLOCKED}.com/limit.php
• http://{BLOCKED}2.{BLOCKED}4.cn/webgame/hazg/HAZG8852.exe
• http://www.{BLOCKED}j.com/3a=http://www.tczjj.com/date/9377mycs_N_dcrmy01.exe
• http://dl.{BLOCKED}2.com/files/third/wdj_dc.gif
• http://download.{BLOCKED}o123.com/setup/setup_10100.exe
• http://cdn.sh.{BLOCKED}mm.com/manage/downloadtool/MagicPlusDownload-Channel_dl_Scarecrow.exe
• http://down.{BLOCKED}e.com/p/Setup_oemxdxdtg.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。