ADW_DOWNWARE.GA

アドウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、ワーム活動の機能を備えていません。

アドウェアは、バックドア活動の機能を備えていません。

侵入方法

アドウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\f.exe - also detected as ADW_DOWNWARE.GA

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下の無害なファイルを作成します。

• %User Temp%\instructionsBv3.dat - deleted afterwards
• %User Temp%\{random}.tmp\Convert.dll - deleted afterwards
• %User Temp%\obhhelper.txt - deleted afterwards
• %User Temp%\{random}.tmp - deleted afterwards

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

アドウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}
(Default) = "CBrowserExternal Class"

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
LocalServer32
(Default) = "%User Temp%\f.exe"

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
LocalServer32
ServerExecutable = "%User Temp%\f.exe"

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
TypeLib
(Default) = "{03771AEF-400D-4A13-B712-25878EC4A3F5}"

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
Version
(Default) = "1.0"

アドウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
LocalServer32

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
Programmable

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
TypeLib

HKEY_CLASSES_ROOT\CLSID\{6D4506CE-F855-4657-AA38-DB6B1F733982}\
Version

感染活動

アドウェアは、ワーム活動の機能を備えていません。

バックドア活動

アドウェアは、バックドア活動の機能を備えていません。

その他

アドウェアが作成する以下のコンポーネントファイルは、「ADW_DOWNWARE.GA」として検出されます。

• %User Temp%\f.exe

アドウェアが作成する、後に削除される無害なファイルは以下のとおりです。

• %User Temp%\instructionsBv3.dat
• %User Temp%\{random}.tmp\Convert.dll
• %User Temp%\obhhelper.txt
• %User Temp%\{random}.tmp

アドウェアは、作成されたファイル” %User Temp%\f.exe”(「ADW_DOWNWARE.GA」として検出される)を以下のコマンドとパラメータを利用して実行します。

• %User Temp%\f.exe /PID={value} /SUBPID={value} /DISTID={value} /NETWORKID={value} /CID={value} /PRODUCT_ID={value} /SERVER_URL=http://installer.apps-track.com /CLICKID={value} /D1={value} /D2={value} /D3={value}/D4={value} /D5={value} /PRODUCT_NAME={value} /PRODUCT_EULA={value} /PRODUCT_PRIVACY={value} /EXE_URL={value} /EXE_CMDLINE={value} /HOST_BROWSER={value} /IS_RUNTIME={value} /THANKYOU_URL={value} /RETURNING_USER_DAYS={value} /VM={value}

アドウェアは、調査や広告目的に利用される以下の情報を収集します。

• オペレーティングシステム（OS）のバージョン
• Internet Explorer（IE）のバージョン
• Google Chromeのバージョン
• MACアドレス
• CPUのビット数
• コンピュータの GUID
• BIOSシリアル番号
• BIOSのバージョン

アドウェアは、以下のURLに接続し、情報を送受信します。

• http://{BLOCKED}ller.{BLOCKED}-track.com/Installer/Flow?pubid={value}&distid={value}&productid={value}&subpubid={value}&campaignid={value}&networkid={value}&dfb={value}&os={value}&iev={value}&ffv={value}&chromev={value}&macaddress={value}&netv={value}&d1={value}&d2={value}&d3={value}&d4={value}&d5={value}&ds1={value}&hb={value}&systembit={value}&vm={value}&machineguid={value}&diskserial={value}&version={value}

アドウェアが受信する情報は以下のとおりです。

• インストーラ・インターフェースのコンテンツをダウンロードするソースURL
• メインおよび任意のソフトウェア・インストーラのソースURL
• 広告活動に利用されるデータ

以下は、メインのソフトウェア・インストーラをダウンロードするURLの例です。

http://{BLOCKED}n.{BLOCKED}ad2desktop.com/ApprovedApps/vlc.exe

以下は、任意のソフトウェア・インストーラをダウンロードするURLの例です。

• http://{BLOCKED}n.{BLOCKED}ad4desktop.com/Installer/Focusbase/focusbaseSetup.exe
• http://{BLOCKED}l.{BLOCKED}demoserv.com/ob23/all/hds/row/setup.exe
• http://{BLOCKED}l.{BLOCKED}emoserv.com/outil/fuully/styi2/savepass.exe

アドウェアは、以下の名称を利用してソフトウェア・インストーラを保存します。

• %User Temp%\{number}_Offer_{number}.exe

アドウェアは、ユーザに気付かれずにダウンロードされたファイルをバックグラウンドで実行し、インストールします。

アドウェアは、以下のようなインストール・インターフェースまたはウインドウを表示します。

インストール後、アドウェアは、広告を含む"Thank you"（完了）を知らせるWebページを開きます。

• http://{BLOCKED}r.{BLOCKED}-track.com/installer/thankyou?productid={value}&pubid={value}&distid={value}&countryid={value}&reqid={value}&sysbit={value}&d1={value}&dfb={value}&hb={value}

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。