ADW_ADSTALL

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\52f32844cd6da14068001b4d\52f32844cd6da14068001b4d.exe
• %User Temp%\nsi3.tmp\52f32844cd6da14068001b4d.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\nsi3.tmp
• %System Root%\Documents and Settings\Wilbert
• %User Profile%\Application Data\52f32844cd6da14068001b4d
• %User Profile%\Application Data\viddyhddownload
• %User Temp%\nsr17.tmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
52f32844cd6da14068001b4d = "{random characters}"

他のシステム変更

アドウェアは、以下のファイルを改変します。

• %System%\WBEM\AutoRecover\88744D2A29102FC88ECF505DD2E984FC.mof

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

アドウェアは、以下のファイルを削除します。

• %User Temp%\nss1.tmp
• %User Temp%\nsi3.tmp
• %User Temp%\nsi3.tmp\ns12.tmp
• %User Temp%\nsi3.tmp\nsCB.tmp
• %User Temp%\nsi3.tmp\nsDF.tmp
• %User Temp%\nsi3.tmp\nsFC.tmp
• %User Temp%\nsi3.tmp\ns117.tmp
• %User Temp%\nsi3.tmp\ns131.tmp
• %User Temp%\nsi3.tmp\ns14A.tmp
• %User Temp%\nsi3.tmp\ns161.tmp
• %User Temp%\nsi3.tmp\ns17B.tmp
• %User Temp%\nsi3.tmp\ns19D.tmp
• %User Temp%\nsm15.tmp
• %User Temp%\nsr17.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Wbem\WMIC

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Wbem\WMIC

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "ffffffff"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
Cli.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mfl = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "49"

アドウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130361550971875000"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs = "{random characters}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130361551472343750"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130361551480937500"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

作成活動

アドウェアは、以下のファイルを作成します。

• %User Temp%\nsi3.tmp\IpConfig.dll
• %User Temp%\nsi3.tmp\System.dll
• %User Temp%\nsi3.tmp\UserInfo.dll
• %User Temp%\nsi3.tmp\inetc.dll
• %User Temp%\nsi3.tmp\tmp_13242.txt
• %User Temp%\nsi3.tmp\registry.dll
• %User Temp%\nsi3.tmp\nsExec.dll
• %User Temp%\nsi3.tmp\av.vbs
• %User Temp%\nsi3.tmp\nsWeb.dll
• %User Temp%\nsr17.tmp\IpConfig.dll
• %User Temp%\nsr17.tmp\System.dll
• %User Temp%\nsr17.tmp\UserInfo.dll
• %User Temp%\nsr17.tmp\ThreadTimer.dll
• %User Temp%\nsr17.tmp\inetc.dll
• %User Temp%\nsr17.tmp\request.txt
• %User Temp%\tmp26.tmp
• %User Temp%\tmp2D.tmp
• %System%\WBEM\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
• %User Temp%\tmpB6.tmp
• %System%\WBEM\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
• TempWmicBatchFile.bat
• %User Temp%\nsi3.tmp\ns12.tmp
• %User Temp%\nsi3.tmp\nsCB.tmp
• %User Temp%\nsi3.tmp\nsDF.tmp
• %User Temp%\nsi3.tmp\nsFC.tmp
• %User Temp%\nsi3.tmp\ns117.tmp
• %User Temp%\nsi3.tmp\ns131.tmp
• %User Temp%\nsi3.tmp\ns14A.tmp
• %User Temp%\nsi3.tmp\ns161.tmp
• %User Temp%\nsi3.tmp\ns17B.tmp
• %User Temp%\nsi3.tmp\ns19D.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://html.{BLOCKED}ddownload.com/installer/requestid.php?uid=00101
• http://html.{BLOCKED}ddownload.com/harvester.php?{random characters}
• http://html.{BLOCKED}ddownload.com/installer/pop_request.php?{random characters}

このウイルス情報は、自動解析システムにより作成されました。