ADW_CLICKER

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、ワーム活動の機能を備えていません。

アドウェアは、バックドア活動の機能を備えていません。

アドウェアは、ダウンロードする機能を備えていません。

アドウェアは、情報収集する機能を備えていません。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %Desktop%\11번가.url
• %Desktop%\G마켓.url
• %Desktop%\옥션.url
• %Desktop%\위메프.url
• %Favorites%\11번가.url
• %Favorites%\G마켓.url
• %Favorites%\GS Shop.url
• %Favorites%\옥션.url
• %Favorites%\Hmall.url
• %Favorites%\롯데홈쇼핑.url
• %Favorites%\이마트.url
• %Favorites%\신세계몰.url
• %Favorites%\AK몰.url
• %Favorites%\하프클럽.url
• {malware path}\IlikeClick.ini
• %Program Files%\ILikeClick\11market.ico
• %Program Files%\ILikeClick\akmall.ico
• %Program Files%\ILikeClick\Auction.ICO
• %Program Files%\ILikeClick\emart.ico
• %Program Files%\ILikeClick\gmarket_mone.ico
• %Program Files%\ILikeClick\GS홈쇼핑.ico
• %Program Files%\ILikeClick\halfclub.ico
• %Program Files%\ILikeClick\IlikeClick.ini
• %Program Files%\ILikeClick\uninstall.exe
• %Program Files%\ILikeClick\Update.exe
• %Program Files%\ILikeClick\신세계몰.ico
• %Program Files%\ILikeClick\위메프.ico
• %Program Files%\ILikeClick\현대홈쇼핑.ico
• %Program Files%\ILikeClick\롯데홈쇼핑.ico
• %User Temp%\nsi10.tmp\System.dll

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\Favorites" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のファイルを作成し実行します。

• %Program Files%\ILikeClick\install.exe
• %Program Files%\ILikeClick\ToolbarRestore.exe
• %System Root%\weersdins.bat - used to delete %Program Files%\ILikeClick\install.exe

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

アドウェアは、以下のフォルダを作成します。

• %Program Files%\ILikeClick

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ToolbarRestore = "%Program Files%\ILikeClick\ToolbarRestore.exe"

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\IlikeClick

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Win shopping icon guide

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\IlikeClick
ICMA = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\IlikeClick
ICMC = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\IlikeClick
IsFirstTime = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Win shopping icon guide
DisplayName = "Win shopping icon guide"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Win shopping icon guide
UninstallString = "%Program Files%\ILikeClick\uninstall.exe"

感染活動

アドウェアは、ワーム活動の機能を備えていません。

バックドア活動

アドウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

アドウェアは、ダウンロードする機能を備えていません。

情報漏えい

アドウェアは、情報収集する機能を備えていません。

その他

アドウェアは、複数のWebサイトにアクセスします。この不正活動は、金銭を得るために訪問されたWebサイトでのクリックを生成する目的で行われます。

インターネットショートカットがクリックされると、アドウェアは以下のURLにアクセスします。

• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.auction.co.kr
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.11st.co.kr
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.wemakeprice.com
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.gmarket.co.kr
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.lotteimall.com%2F+
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fmall.shinsegae.com
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.emartmall.com%2Findex.jsp%3Fpid%3Dilikeclick%26ckwhere%3Dilikeclick%26sid%3Dil001
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.akmall.com
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.halfclub.com
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.gsshop.com
• http://cl.ilikeclick.com/?dts_code=10{random digits}604000022740000000000000&ilc_cusVar1=&target_url=http%3A%2F%2Fwww.hyundaihmall.com

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。