ADW_BADINS

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\.exe
• %User Temp%\nsd3.tmp\.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\nsd3.tmp
• %System Root%\Documents and Settings\Wilbert
• %User Profile%\Application Data\viddyhddownload
• %User Temp%\nsf18.tmp

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

アドウェアは、以下のファイルを改変します。

• %System%\WBEM\AutoRecover\88744D2A29102FC88ECF505DD2E984FC.mof

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

アドウェアは、以下のファイルを削除します。

• %User Temp%\nsd1.tmp
• %User Temp%\nsd3.tmp
• %User Temp%\nsd3.tmp\ns13.tmp
• %User Temp%\nsd3.tmp\ns32.tmp
• %User Temp%\nsd3.tmp\ns37.tmp
• %User Temp%\nsd3.tmp\ns3B.tmp
• %User Temp%\nsd3.tmp\ns40.tmp
• %User Temp%\nsd3.tmp\ns44.tmp
• %User Temp%\nsd3.tmp\ns49.tmp
• %User Temp%\nsd3.tmp\ns4E.tmp
• %User Temp%\nsd3.tmp\ns52.tmp
• %User Temp%\nsv16.tmp
• %User Temp%\nsf18.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Wbem\WMIC

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Wbem\WMIC

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
mofcompMUIStatus = "ffffffff"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
Cli.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mof = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
CliEgAliases.mfl = "127360152460000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WMIC
mofcompstatus = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Wbem\WMIC
WMICLC = "49"

アドウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130364130195736250"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs = "{random characters}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130364130598080000"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\CIMOM
Autorecover MOFs timestamp = "130364130602767500"

(註：変更前の上記レジストリ値は、「129689362348742500」となります。)

作成活動

アドウェアは、以下のファイルを作成します。

• %User Temp%\nsd3.tmp\IpConfig.dll
• %User Temp%\nsd3.tmp\System.dll
• %User Temp%\nsd3.tmp\UserInfo.dll
• %User Temp%\nsd3.tmp\inetc.dll
• %User Temp%\nsd3.tmp\tmp_13242.txt
• %User Temp%\nsd3.tmp\registry.dll
• %User Temp%\nsd3.tmp\nsExec.dll
• %User Temp%\nsd3.tmp\av.vbs
• %User Temp%\nsf18.tmp\IpConfig.dll
• %User Temp%\nsf18.tmp\System.dll
• %User Temp%\nsf18.tmp\UserInfo.dll
• %User Temp%\nsf18.tmp\ThreadTimer.dll
• %User Temp%\nsf18.tmp\inetc.dll
• %User Temp%\nsf18.tmp\request.txt
• %User Temp%\tmp20.tmp
• %User Temp%\tmp27.tmp
• %System%\WBEM\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
• %User Temp%\tmp2D.tmp
• %System%\WBEM\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
• TempWmicBatchFile.bat
• %User Temp%\nsd3.tmp\ns13.tmp
• %User Temp%\nsd3.tmp\ns32.tmp
• %User Temp%\nsd3.tmp\ns37.tmp
• %User Temp%\nsd3.tmp\ns3B.tmp
• %User Temp%\nsd3.tmp\ns40.tmp
• %User Temp%\nsd3.tmp\ns44.tmp
• %User Temp%\nsd3.tmp\ns49.tmp
• %User Temp%\nsd3.tmp\ns4E.tmp
• %User Temp%\nsd3.tmp\ns52.tmp
• %User Temp%\nsd3.tmp\ns5B.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://html.{BLOCKED}ddownload.com/installer/requestid.php?uid=00101
• http://html.{BLOCKED}ddownload.com/harvester.php?{random characters}
• http://html.{BLOCKED}ddownload.com/installer/pop_request.php?{random characters}

このウイルス情報は、自動解析システムにより作成されました。