• Email
• Facebook
• Twitter
• Google+
• Linkedin

PUA.Win32.AutoKMS.AQJBI

---

• マルウェアタイプ: 潜在的に迷惑なアプリケーション
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %Windows%\ScriptTemp.ini
• %User Temp%\aut{Random Character}.tmp
• %Windows%\_temp{Random Number}\KMSmini.7z
• %Windows%\HeuKmsRenewal\HEU_KMS_Activator.exe
• %Windows%\_temp{Random Number}\Office2010OSPP\OSPP.VBS
• %Windows%\_temp{Random Number}\OtherOfficeOSPP\OSPP.VBS
• %Windows%\_temp{Random Number}\HEU_Configuration.ini
• %Windows%\_temp{Random Number}\GetProductKey.data
• %Windows%\_temp{Random Number}\SetupComplete.data
• %Windows%\_temp{Random Number}\x86\cleanospp.exe
• %Windows%\_temp{Random Number}\x64\cleanospp.exe
• %Windows%\_temp{Random Number}\kms-client.exe
• %Windows%\_temp{Random Number}\kms_x64.exe
• %Windows%\_temp{Random Number}\x64\SetACL.exe
• %Windows%\_temp{Random Number}\x86\SetACL.exe
• %Windows%\_temp{Random Number}\x86\msvcr100.dll
• %Windows%\_temp{Random Number}\x64\msvcr100.dll
• %Windows%\_temp{Random Number}\x86\SECOPatcher.dll
• %Windows%\_temp{Random Number}\x86\SppExtComObjHook.dll
• %Windows%\_temp{Random Number}\x64\SppExtComObjHook.dll
• %Windows%\_temp{Random Number}\ScriptDir.ini
• %Windows%\_temp{Random Number}\x64\SECOPatcher.dll
• %Windows%\_temp{Random Number}\kms.exe - > Detected as TROJ_GEN.R002C0DH821
• %Windows%\_temp{Random Number}\kms-server.exe - > Detected as HackTool.Win32.AutoKMS.AUSYP

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

• %System%\cmd.exe /c echo [Temp] >%windir%\ScriptTemp.ini;
• %System%\cmd.exe /c echo Temp=_temp10041435486233 >>%windir%\ScriptTemp.ini;
• %System%\cmd.exe /c set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall delete rule name="HEU_KMS_Activator";
• netsh advfirewall firewall delete rule name="HEU_KMS_Activator";
• %System%\cmd.exe /c set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program="%Desktop%\358ead5466fd6f67545cd77d87d541235449558f.exe";
• netsh advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program="%Desktop%\358ead5466fd6f67545cd77d87d541235449558f.exe";
• %Windows%\_temp10041435486233\7Z.EXE x %Windows%\_temp10041435486233\KMSmini.7z -y -oC:\Windows\_temp10041435486233;
• %System%\cmd.exe /c set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & echo [Direction] >%windir%\_temp10041435486233\ScriptDir.ini;
• %System%\cmd.exe /c set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & echo Dir=%Desktop% >>%windir%\_temp10041435486233\ScriptDir.ini;
• %System%\cmd.exe /c set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & echo Name=358ead5466fd6f67545cd77d87d541235449558f.exe >>%windir%\_temp10041435486233\ScriptDir.ini;
• %Windows%\_temp10041435486233\kms.exe;

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください