・実行時、FakeAlert-AVsoftは以下のレジストリキーを作成します。
- HKEY_CURRENT_USER\Software\AvScan
・以下のレジストリ値がシステムに追加されます。
- [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download "RunInvalidSignatures”]
- データ： 01, 00, 00, 00
- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings "ProxyOverride"]
- データ： local
- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings "ProxyServer"]
- データ： http=127.0.0.1:5555
- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations "LowRiskFileTypes"]
- データ： .exe
- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments "SaveZoneInformation"]
- データ： 01, 00, 00, 00
- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "ymrkrjmo"]
- データ： C:\Documents and Settings\%User%\Local Settings\Application Data\rkfvfv\tpidsftav.exe
- [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "ymrkrjmo"]
- データ： C:\Documents and Settings\%User%\Local Settings\Application Data\rkfvfv\tpidsftav.exe
・以下のレジストリ値が改変されます。
- [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download "CheckExeSignatures"]
- 改変前のデータ： yes
- 改変後のデータ： no
- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings "ProxyEnable"]
- 改変前のデータ： 00, 00, 00, 00
- 改変後のデータ： 01, 00, 00, 00
・以下のレジストリキーがシステムから削除されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows "AppInit_DLLs"
・以下のファイルがFakeAlertによってドロップ／作成されます。
- c:\Documents and Settings\%User%\Local Settings\Application Data\rkfvfv\tpidsftav.exe
・約2分間動作した後、FakeAlert-AVsoftは以下のポップアップメッセージをタスクバーに表示し始めます。
・このメッセージの表示後、メインプログラムをロードして、感染マシンのスキャンを開始します。FakeAlertのメインプログラムは、ユーザが最小化したり完全に削除したりできないよう、「常に手前に表示」されるように設定されています。
・スキャンの完了後、ユーザのマシンがマルウェアに感染していると警告する以下のメッセージを表示します。
・FakeAlertは、以下のスクリーンショットのとおり、YesボタンとNoボタンの意味を変えて、ユーザをだまし、製品を購入させようとします。
・実行ファイルの実行ができなくなり、実行しようとすると、以下のメッセージが表示されます。
・一定時間、FakeAlertが動作し続けると、Internet Explorerをロードし、www.adu[削除].comを開き、画面右下に偽の警告メッセージを表示します。
・以下のドメインにアクセスする可能性があります。
- www.Via[削除].com
- www.Por[削除].com
- www.Por[削除].org
- www.adu[削除].com
システムの改変
・以下は一般的なパス変数の既定値です。（異なる場合もありますが、一般的には以下のとおりです。）
%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000)
%SystemDir% = \WINDOWS\SYSTEM (Windows 98/ME), \WINDOWS\SYSTEM32 (Windows XP/Vista), \WINNT\SYSTEM32 (Windows NT/2000)
