Trojan.Win32.EVILAI.YXFH3

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\Programs\PDFEditor\PDF Editor.exe → Detected as Trojan.Win64.EVILAI.YXFIL
• %Start Menu%\Programs\PDF Editor.lnk
• %Desktop%\PDF Editor.lnk

マルウェアは、以下のプロセスを追加します。

• %AppDataLocal%\Programs\PDFEditor\PDF Editor.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
PDFEditorUpdater = "%AppDataLocal%\Programs\PDFEditor\PDF Editor.exe" --cm=--fullupdate

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\PDFEditor
InstallVersion = 1.0.26

HKEY_CURRENT_USER\SOFTWARE\{GUID}
InstallLocation = Type: REG_SZ, Length: 98, Data: %AppDataLocal%\Programs\PDFEditor

HKEY_CURRENT_USER\SOFTWARE\{GUID}
KeepShortcuts = true

HKEY_CURRENT_USER\SOFTWARE\{GUID}
ShortcutName = PDF Editor

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
DisplayName = PDF Editor 1.0.26

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
UninstallString = "%AppDataLocal%\Programs\PDFEditor\Uninstall PDF Editor.exe" /currentuser

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
QuietUninstallString = "%AppDataLocal%\Programs\PDFEditor\Uninstall PDF Editor.exe" /currentuser /S

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
DisplayVersion = 1.0.26

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
DisplayIcon = %AppDataLocal%\Programs\PDFEditor\uninstallerIcon.ico

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
Publisher = AppSuite

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
NoModify = 1

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
NoRepair = 1

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
EstimatedSize = 270801