PUA.Win32.BitTorrent.A

2021年2月1日

解析者: Mohammed Malubay

別名:

N/A;

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 潜在的に迷惑なアプリケーション
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 1,956,576 bytes

タイプ EXE

発見日 2021年1月27日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

%Application Data%\BitTorrent\BitTorrent.exe
%Application Data%\BitTorrent\bittorrent.lng
%Application Data%\BitTorrent\bittorrent.lng.new
%Application Data%\BitTorrent\settings.dat.new
%Application Data%\BitTorrent\updates.dat
%Application Data%\Microsoft\Windows\Start Menu\BitTorrent.lnk
%Desktop%\BitTorrent.lnk
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\br.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\de.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\en.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\es.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\fr.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\it.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\ko.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\pt.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\i18n\ru.json
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\bt_icon_48px.png
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\loading.gif
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\main_bittorrent.ico
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\main_icon.png
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\images\main_utorrent.ico
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\index.hta
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\install.{Random Numbers}.zip
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\common.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\es5-shim.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\initialize.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\install.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\scripts\uninstall.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\shell_scripts\check_if_cscript_is_working.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\shell_scripts\shell_install_offer.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\shell_scripts\shell_ping_after_close.js
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\styles\common.css
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\styles\installer.css
%User Temp%\{Random Characters}.tmp.{Random Numbers}\HTA\uninstall.hta
%User Temp%\{Random Characters}.tmp.{Random Numbers}\index.hta.log
%User Temp%\{Random Characters}.tmp.{Random Numbers}\sideLog.log
C:\hydra_tmp_{Random Numbers}\BitTorrent.lnk

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

"%System%\mshta.exe" "%User Temp%\{Random Characters}.tmp.{Random Numbers}\index.hta.log" /PID "{PID of running installer}" /CID "{Random Characters}" /VERSION "256619297" /BUCKET "0" /SSB "15" /COUNTRY "{Country of Machine}" /OS "6.1" /BROWSERS "{Browsers available in the machine}" --default http" /ARCHITECTURE "{Machine Architecture}" /LANG "{Machine Language}" /USERNAME "{User Name}" /SID "{SID}" /USERLANG "{Selected Language}" /CLIENT "bittorrent"
"%System%\cscript.exe" "shell_scripts/check_if_cscript_is_working.js"
"%System%\PING.EXE" 8.8.8.8 -n 2 -w 500
"%System%\cscript.exe" shell_scripts/shell_ping_after_close.js "http://i-50.b-000.XYZ.{BLOCKED}h.{BLOCKED}nt.com/e?i=50&e={Random Characters}"
"%System%\cscript.exe" shell_scripts/shell_install_offer.js "%User Temp%/{Random Characters}.tmp.{Random Numbers}/sideLog.log" "lavasoft_securesearch" "http://webcompanion.com/nano_download.php?partner=BT170901" "--silent%20--partner%3DBT170901%20--homepage%3D11%20--search%3D7" "0" "{User name}" "{User name}"

自動実行方法

プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BitTorrent = %APPDATA%\BitTorrent\BitTorrent.exe

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe
shell = open

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell
open = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open\
command
(Default) = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
DisplayName = BitTorrent

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
DisplayVersion = {BLOCKED}.{BLOCKED}.5.45857

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
DisplayIcon = %APPDATA%\BitTorrent\BitTorrent.exe,0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
UninstallString = "%APPDATA%\BitTorrent\BitTorrent.exe" /UNINSTALL

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
InstallLocation = %APPDATA%\BitTorrent

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
URLInfoAbout = http://www.{BLOCKED}rent.com/

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
Publisher = BitTorrent Inc.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
VersionMajor = 7

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
MajorVersion = 7

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
VersionMinor = 10

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
MinorVersion = 10

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
NoModify = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent
NoRepair = 1

HKEY_USERS\{SID}_CLASSES\.btapp
(Default) = BitTorrent

HKEY_USERS\{SID}_CLASSES\.btapp
Content Type = application/x-bittorrent-app

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-app
Extension = .btapp

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\Content Type
(Default) = application/x-bittorrent-app

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\.btinstall
(Default) = BitTorrent

HKEY_USERS\{SID}_CLASSES\.btinstall
Content Type = application/x-bittorrent-appinst

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-appinst
Extension = .btinstall

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\Content Type
(Default) = application/x-bittorrent-appinst

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\.btkey
(Default) = BitTorrent

HKEY_USERS\{SID}_CLASSES\.btkey
Content Type = application/x-bittorrent-key

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-key
Extension = .btkey

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\Content Type
(Default) = application/x-bittorrent-key

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\.btskin
BitTorrent =

HKEY_USERS\{SID}_CLASSES\.btskin
Content Type = application/x-bittorrent-skin

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-skin
Extension = .btskin

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\Content Type
(Default) = application/x-bittorrent-skin

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent
DefaultIcon = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell\open
command = "%APPDATA%\BitTorrent\BitTorrent.exe" "%1"

HKEY_USERS\{SID}_CLASSES\bittorrent
(Default) = bittorrent URI

HKEY_USERS\{SID}_CLASSES\bittorrent
URL Protocol =

HKEY_USERS\{SID}_CLASSES\bittorrent\
Content Type
(Default) = application/x-bittorrent

HKEY_USERS\{SID}_CLASSES\bittorrent
Content Type = application/x-bittorrent-protocol

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\bittorrent\
DefaultIcon
(Default) = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell\open\command
(Default) = "%APPDATA%\BitTorrent\BitTorrent.exe" %1 /SHELLASSOC

HKEY_USERS\{SID}_CLASSES\utorrent
(Default) = utorrent URI

HKEY_USERS\{SID}_CLASSES\utorrent
URL Protocol =

HKEY_USERS\{SID}_CLASSES\utorrent\
Content Type
(Default) = application/x-bittorrent

HKEY_USERS\{SID}_CLASSES\utorrent
Content Type = application/x-bittorrent-protocol

HKEY_USERS\{SID}_CLASSES\utorrent\
shell
(Default) = open

HKEY_USERS\{SID}_CLASSES\utorrent\
DefaultIcon
(Default) = %APPDATA%\BitTorrent\images\bt_icon_48px.png

HKEY_USERS\{SID}_CLASSES\utorrent\
shell\open\command
(Default) = "%APPDATA%\BitTorrent\BitTorrent.exe" %1 /SHELLASSOC

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open

HKEY_USERS\{SID}_CLASSES\Applications\
BitTorrent.exe\shell\open\
command

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btapp

HKEY_USERS\{SID}_CLASSES\MIME

HKEY_USERS\{SID}_CLASSES\MIME\
Database

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-app

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btapp\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\.btinstall

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-appinst

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btinstall\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-key

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btkey\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\.btskin

HKEY_USERS\{SID}_CLASSES\MIME\
Database\Content Type\application/x-bittorrent-skin

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\Content Type

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell

HKEY_USERS\{SID}_CLASSES\.btskin\
BitTorrent\shell\open

HKEY_USERS\{SID}_CLASSES\bittorrent

HKEY_USERS\{SID}_CLASSES\bittorrent\
Content Type

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell

HKEY_USERS\{SID}_CLASSES\bittorrent\
DefaultIcon

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell\open

HKEY_USERS\{SID}_CLASSES\bittorrent\
shell\open\command

HKEY_USERS\{SID}_CLASSES\utorrent

HKEY_USERS\{SID}_CLASSES\utorrent\
Content Type

HKEY_USERS\{SID}_CLASSES\utorrent\
shell

HKEY_USERS\{SID}_CLASSES\utorrent\
DefaultIcon

HKEY_USERS\{SID}_CLASSES\utorrent\
shell\open

HKEY_USERS\{SID}_CLASSES\utorrent\
shell\open\command

プログラムは、以下の不正なWebサイトにアクセスします。

{BLOCKED}i.com
i-50.b-000.XYZ.{BLOCKED}h.{BLOCKED}nt.com
{BLOCKED}panion.com

プログラムは、以下を実行します。

Opens a new browser tab/window of the following URL:
- https://www.bittorrent.com/prodnews/?v={Random Characters}

対応方法

対応検索エンジン: 9.800

SSAPI パターンバージョン: 2.375.00

SSAPI パターンリリース日: 2021年1月28日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 4

自身のアンインストールオプションを使用し、「PUA.Win32.BitTorrent.A」を削除します。

[ 詳細 ]

マルウェアのプロセスの削除

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PUA.Win32.BitTorrent.A」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください