・以下のプロセスが動作している場合、FakeAlert-XPAntivirusは実行されません。
- procexp
- procmon
- regmon
- filemon
- tcpview
- unlocker
- wireshark
- malzilla
- vbox
- httpanalyzer
- hijackthis
・上記のプロセスの動作中にFakeAlertを実行しようとすると、以下のエラーメッセージが表示されます。
・以下のレジストリキーが追加されます。
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\PersonalSec
- HKEY_LOCAL_MACHINE\SOFTWARE\7EBF15E8D1AED23644150C126E17253B
・以下のレジストリ値が追加されます。
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run ["PersonalSec"]
- データ： C:\Program Files\PersonalSec\psecurity.exe
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\PersonalSec ["DisplayIcon"]
- データ： C:\Program Files\PersonalSec\psecurity.exe
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\PersonalSec ["DisplayName"]
- データ： Personal Security
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\PersonalSec ["UninstallString"]
- データ： C:\Program Files\PersonalSec\psecurity.exe -uninst
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center ["FirstRunDisabled"]
- データ： [空欄]
・以下のレジストリキーが改変されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center ["AntiVirusDisableNotify"]
- 改変後のデータ： [空欄]
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center ["AntiVirusOverride"]
- 改変後のデータ： [空欄]
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center ["FirewallDisableNotify"]
- 改変後のデータ： [空欄]
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center ["FirewallOverride"]
- 改変後のデータ： [空欄]
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center ["UpdatesDisableNotify"]
- 改変後のデータ： [空欄]
・以下のフォルダが作成されます。
- c:\Documents and Settings\All Users\Start Menu\PersonalSec
- c:\Program Files\Common Files\PersonalSecUninstall
- c:\Program Files\PersonalSec
・以下のファイルがドロップ（作成）／ダウンロードされます。
- c:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\PersonalSec.lnk (サイズ： 764バイト)
- c:\Documents and Settings\Administrator\Desktop\Personal Security.lnk (サイズ： 746バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Computer Scan.lnk (サイズ： 1,608バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Help.lnk (サイズ： 1,560バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Personal Security.lnk (サイズ： 752バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Registration.lnk (サイズ： 1,604バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Security Center.lnk (サイズ： 756バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Settings.lnk (サイズ： 1,596バイト)
- c:\Documents and Settings\All Users\Start Menu\PersonalSec\Update.lnk (サイズ： 1,592バイト)
- c:\Program Files\Common Files\PersonalSecUninstall\Uninstall.lnk (サイズ： 754バイト)
- c:\Program Files\PersonalSec\psecurity.exe (サイズ： 1,409,536バイト)
・FakeAlertが実行されると、以下の画面が表示されます。
・FakeAlertはユーザのハードディスクの偽のスキャンを開始します。
・偽のスキャンが完了すると、マシンが感染していると偽り、駆除したいかどうか尋ねます。
・FakeAlertは最小化して閉じることができますが、以下のようなポップアップメッセージを表示し続けます。
・FakeAlertが動作している間、他のアプリケーションを実行することはできません。また、FakeAlertはすべてのデスクトップ項目を隠します。
