ADW_DLOADR

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %Application Data%\iSafe\preference.ini
• %Application Data%\iSafe\log\bugreport.zip
• %Application Data%\iSafe\log\install.log
• %Application Data%\iSafe\log\iSafeTray.log
• %Application Data%\iSafe\log\uninstall.log
• %Application Data%\iSafe\log_bak\iSafeKrnlCall.LOG
• %Application Data%\iSafe\log_bak\iSafeSvc2.LOG
• %Program Files%\iSafe\iSafeKrnl.sys
• %Program Files%\iSafe\skin2\image\new\{multiple files}.png
• %Program Files%\iSafe\skin2\layout\new\{multiple files}.xml
• %Program Files%\iSafe\skin2\layout\new\pop\{multiple files}.xml
• %Program Files%\iSafe\tws\defs\base0000.dat
• %Program Files%\iSafe\tws\defs\catalog.dat
• %Program Files%\iSafe\tws\plugins\filavutd.dll
• %Program Files%\iSafe\tws\plugins\virut.tmp
• %Program Files%\iSafe\tws\quarantine\catalog.dat
• %User Temp%\downloader_helper.ini

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のファイルを作成し実行します。

• %User Temp%\dl_{random digits}.exe
• %User Temp%\DL_00000000\dl.exe
• %User Temp%\ISAFE_00000000\uninstall.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のフォルダを作成します。

• %All Users Profile%\Start Menu\Programs\YAC
• %Application Data%\iSafe
• %Application Data%\iSafe\log
• %Application Data%\iSafe\log_bak
• %Program Files%\iSafe
• %Program Files%\iSafe\cfg
• %Program Files%\iSafe\data
• %Program Files%\iSafe\font
• %Program Files%\iSafe\lang
• %Program Files%\iSafe\log
• %Program Files%\iSafe\skin2
• %Program Files%\iSafe\skin2\image
• %Program Files%\iSafe\skin2\image\new
• %Program Files%\iSafe\skin2\layout
• %Program Files%\iSafe\skin2\layout
• %Program Files%\iSafe\skin2\layout\new
• %Program Files%\iSafe\skin2\layout\new\pop
• %Program Files%\iSafe\skin2\sytle
• %Program Files%\iSafe\tws
• %Program Files%\iSafe\tws\defs
• %Program Files%\iSafe\tws\logs
• %Program Files%\iSafe\tws\plugins
• %Program Files%\iSafe\tws\quarantine
• %Program Files%\iSafe\tws\task
• %Program Files%\iSafe\tws\temp
• %Program Files%\iSafe\tws\trace
• %Program Files%\iSafe\tws\x64
• %Program Files%\iSafe\user

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

自動実行方法

アドウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\iSafeNetFilter
DisplayName = "iSafeNetFilter"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\iSafeNetFilter
ImagePath = "%Program Files%\iSafe\iSafeNetFilter.sys"

アドウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\iSafeNetFilter

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
MenuOrder\Start Menu2\Programs\
YAC

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Session Manager
PendingFileRenameOperations = "{hex values}"

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}c.mx/{BLOCKED}load/config/db.php?name={malware file name}
• http://www.{BLOCKED}c.mx/{BLOCKED}nload/config/default.db
• http://www.{BLOCKED}c.mx/en/{BLOCKED}ion.html?uid=411f3a52-26ed-4872-9a07-8c966acba234_b0b2d6e3_1395017691
• http://www.{BLOCKED}.{BLOCKED}oud.com/v4/sof-easydl/VBOX_HARDDISK_VB316f4beb-ff70531b?action=dft.YAC.start
• {BLOCKED}3.{BLOCKED}3.180.130:80/original/iSafe_setup.exe
• http://www.{BLOCKED}m.{BLOCKED}65.com/ads/sendss?sid=yac&ptid=dft&hdid=VBOX_HARDDISK_VB316f4beb-ff70531b
• http://www.{BLOCKED}c.mx/{BLOCKED}nload/config/default.db