・FakeAlert-SpyProが実行されると、乗っ取ったユーザのシステムに偽のバルーンヒントを表示します。バルーンヒントでは、実際にはそうではありませんが、システムがひどく感染していると通知されます。
・以下に自身のコピーを作成します。
C:\Documents and Settings\%user\Local Settings\Application Data\jlpbbn\wisgsysguard.exe
・また、システムトレイに偽のメッセージが表示され、システムにスパイウェアプログラムが存在していることを通知し、Antivirus System Proを購入するよう促すバルーンヒントが現れます。
・以下のレジストリキーがシステムに追加されます。
- HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\AvScan
- HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\Microsoft\Windows\CurrentVersion\Policies\Associations
- HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments
- HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\Microsoft\Windows Script
- HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download "RunInvalidSignatures”
・以下のレジストリ値がシステムに追加されます。
- [HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\AvScan]
- "aazalirt" = "0x00000001"
- [HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\AvScan]
- "skaaanret" = " 0x00000001"
- [HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\AvScan]
- "jungertab" = " 0x00000001"
- [HKEY_USERS\S-1-5-21-1454471165-926492609-839522115-500\Software\AvScan]
- "zibaglertz" = " 0x00000001"
・以下のレジストリ値が改変されます。
- [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings\]
- ProxyEnable:="0x00000001"
- [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Hardware Profiles\Current\Software\Microsoft\windows\CurrentVersion\Internet Settings\]
- ProxyEnable:="0x00000001"
- [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download]
- CheckExeSignatures = no
・以下のレジストリ値がシステムから削除されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows "AppInit_DLLs"
・FakeAlert-SpyProが実行されると、以下のサイトに接続しようとします。
- http://Sysguard[削除].com
- http://sysguard[削除].com/purchase?r=57.2
・偽のバルーンヒントを表示した後、メインプログラムをロードし、感染したユーザのマシンの偽のスキャンを開始します。FakeAlertのメインプログラムは、ユーザが最小化したり完全に削除したりできないよう、「常に手前に表示」されるように設定されています。
・スキャンの完了後、ユーザのマシンがマルウェアに感染していると警告する以下のメッセージを表示します。
・FakeAlertは、以下のスクリーンショットのとおり、YesボタンとNoボタンの意味を変えて、ユーザをだまし、製品を購入させようとします。
・乗っ取られたユーザがアプリケーションを開こうとすると、ファイルが感染していて実行できないためAntivirus System Proを購入するよう促す警告メッセージ／バルーンヒントが表示されます。
・一定時間、FakeAlertが動作し続けると、Internet Explorerをロードし、www.adu[削除].comを開き、画面右下に偽の警告メッセージを表示します。
・また、Internet Explorerで以下のWebサイトをロードする可能性があります。
- www.Viag[削除].com
- www.Por[削除].com
- www.Por[削除].org
システムの改変
・以下は一般的なパス変数の既定値です。（異なる場合もありますが、一般的には以下のとおりです。）
%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000)
%SystemDir% = \WINDOWS\SYSTEM (Windows 98/ME), \WINDOWS\SYSTEM32 (Windows XP/Vista), \WINNT\SYSTEM32 (Windows NT/2000)
