・「FakeAlert-AntiVirusPro.gen.f」は偽のメッセージを表示し、実際には存在しない脅威を取り除くため、有料でソフトウェアを登録する必要があるとユーザに通知するトロイの木馬です。
・また、search[削除].orgに接続して悪質なファイルをダウンロードします。
・実行時、以下の場所に自身をコピーし、その後、自身を削除します。
- %Temp%\dfrgsnapnt.exe - [FakeAlert-AntiVirusPro.gen.fという名前で検出]
- %Temp%\topwesitjh - [FakeAlert-AntiVirusPro.gen.fという名前で検出]
・以下のファイルをドロップ（作成）します。
- %Temp%\wscsvc32.exe [FakeAlert-DefCnt.dという名前で検出]
- %Temp%\eapp32hst.dll [FakeAlert-OZという名前で検出]
- %Temp%\tmp2B7D.tmp [FakeAlert-DefCnt.dという名前で検出]
- %Temp%\asd2C.tmp.exe [FakeAlert-AntiVirusPro.gen.fという名前で検出]
- %Temp%\asd2C.tmp
- %UserProfile%\Desktop\spam001.exe
- %UserProfile%\Desktop\spam003.exe
- %UserProfile%\Desktop\troj000.exe
・コンピュータで動作し続けられるよう、上記のファイルからDLLファイル（eapp32hst.dll）がWindowsエクスプローラのプロセスに挿入されます。
・「asd2C.tmp.exe」ファイルはWindowsセキュリティセンターに似たダイアログボックスを表示し、正規のセキュリティ製品をアンインストールしようとします。また、自身の悪質なソフトウェアや偽のソフトウェアをインストールします。
・以下を参照してください。
・以下の偽のバルーンヒントを表示します。
・以下の偽のAntivirus Installerのセットアップ画面を表示します。
・以下のデスクトップショートカットを作成します。ユーザがショートカットをクリックすると、ポルノサイトに誘導します。
- %UserProfile%\Desktop\nudetube.com.lnk
- %UserProfile%\Desktop\pornotube.com.lnk
- %UserProfile%\Desktop\youporn.com.lnk
・以下のレジストリキーが追加されます。
- HKEY_CURRENT_USER\S-1-[不定]\Software\Microsoft\Windows\CurrentVersion\Policies\System
・以下のレジストリ値が追加されます。
- HKEY_CURRENT_USER\S-1-[不定]\Printers\Connections\
affid = "139"
subid = "1"
ver = "4.0"
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\
DisableTaskMgr = “0x00000001”
- HKEY_CURRENT_USER\S-1-[不定]\Software\Microsoft\Windows\CurrentVersion\Policies\System\
DisableTaskMgr = “0x00000001”
・上記のレジストリにより、タスクマネージャを無効にします。
- HKEY_CURRENT_USER\S-1-[不定]\Software\Microsoft\Windows\CurrentVersion\Run\
dfrgsnapnt.exe = "%Temp%\dfrgsnapnt.exe"
・上記のレジストリ項目により、Windowsが起動するたびにFakeAlert-AntiVirusPro.gen.fが実行されるようにします。
・コンピュータにインストールされている以下の正規のソフトウェアをアンインストールするよう促します。
- CyberScrub Privacy Suite
- Loaris Trojan Remover
- Prot Antivirus
- BullGuard
- E scan
- Ad-Aware
- Spyware Doctor
- ZoneAlarm
- SpyHunter
- Hitman Pro 3.5
- Outpost Firewall Pro
- AVG9
- Dr. Web
- Panda Security
- Online Armor
- COMODO Internet Security
- Microsoft Security Essentials
- F-Secure Anti-Virus
- Malwarebytes' Anti-Malware_is1
- NOD32
- Agnitum Outpost Security Suite Pro_is1
- Avira AntiVir Desktop
- MSC
- avast!
- AntiVir PersonalEdition Classic
- AVG8
- NIS
- Spycheck Antispyware
- Kaspersky Internet Security
- Symantec
- Priwate FireWall
- Malwarebytes
- Bit Defender
- Sophos
・以下のフォルダをシステムに追加します。
・実行後、FakeAlert-AntiVirusPro.gen.fは自身を削除します。
[注： %Temp% - C:\Documents and Settings\[ユーザ名]\Local Settings\Temp]
%ProgramFiles% - C:\Program Files, %UserProfile% - C:\Documents and Settings\Administrator]
