ADW_EOREZO.GB

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成し実行します。

• %User Temp%\is-{random}.tmp\{grayware filename}.tmp ← use to execute routine
• %User Temp%\is-{random}.tmp\CheckProc.cmd ← contains commands to check running process
• %User Temp%\is-{random}.tmp\ex.bat ← execute powershell code to check for AV products
• %User Temp%\is-{random}.tmp\cmd.bat ← creates favicon.ico

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %User Temp%\is-{random}.tmp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

作成活動

アドウェアは、以下のファイルを作成します。

• %User Temp%\is-{random}.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-{random}.tmp\favicon.ico ← contains SessionName
• %User Temp%\is-{random}.tmp\av.txt ← list of installed AV products
• %User Temp%\is-{random}.tmp\gentlejmp_irow.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェア活動

アドウェアは、以下のWebサイトにアクセスして感染コンピュータ上に広告を表示します。

• http://ads.{BLOCKED}epub.com/cgi-bin/advert/getads? (inaccessible)

その他

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://prof.{BLOCKED}o.com/cgi-bin/packages/DYNPACKAGES_WEB_GET_INFO.pm?product=all
• http://ads.{BLOCKED}oubutyoucantry.com/cgi-bin/advert/settags?x_mode=args&x_format=javascript&x_dp_id=1031&x_pub_id=4&tag={installed AV Product information}
• http://ads.{BLOCKED}ds.com/cgi-bin/advert/settags?x_mode=args&x_format=javascript&x_dp_id=2000&x_pub_id=20000&tag={Status Flag}

アドウェアが作成し実行する以下のファイルは、活動を実行するために利用されます。

• %User Temp%\is-{random}.tmp\{grayware filename}.tmp

アドウェアが作成し実行する以下のファイルは、実行中のプロセスを確認するためのコマンドを含んでいます。

• %User Temp%\is-{random}.tmp\CheckProc.cmd

アドウェアが作成し実行する以下のファイルは、セキュリティ対策製品を確認するためのパワーシェルコードを実行します。

• %User Temp%\is-{random}.tmp\ex.bat

アドウェアが作成し実行する以下のファイルは、"favicon.ico"を作成します。

• %User Temp%\is-{random}.tmp\cmd.bat

アドウェアが作成する以下のファイルは、セッション名を含んでいます。

• %User Temp%\is-{random}.tmp\favicon.ico

アドウェアが作成する以下のファイルは、インストールされたセキュリティ対策製品のリストです。

• %User Temp%\is-{random}.tmp\av.txt

アドウェアは、以下の”{Status Flag}”をURLの"tag=" に加えて、自身のインストールの状態を表示します。

• _UPD__GMPROW_OPEN
• _UPD__GMPROW_INI
• _UPD__{システムアーキテクチャ} (e.g. x86)
• _UPD__DATE_ERROR
• _UPD__DATE_OUT_{実行の日時}
• _UPD__VM_{仮想環境およびネットワーク}
• _UPD__SA_{インストールされたアプリケーション}
• _UPD__SF_{実行中のプロセス}

アドウェアは、以下の仮想環境および仮想ネットワークがコンピュータ上に存在するかどうかを確認します。

• Virtual Machine.VMC
• VirtualBox
• VMware, Inc.
• parallels
• HMA! Pro VPN
• ExpressVPN
• PureVPN_is1
• Privax
• CyberGhost
• Golden Frog, GmbH. - VyprVPN

上述のリストのいずれかがコンピュータ上で確認された場合、アドウェアは関連する"tag" を"_UPD__VM_{仮想環境およびネットワーク}"として加えます。"{仮想環境およびネットワーク}"には以下のいずれかがあてはまります。

• _vPCS
• _vBxS
• _vBxHD
• _vMWS
• _vMWHD
• _vMWBi
• _vPaBi
• _vPCHD
• _HMAUn
• _ExUn
• _PuUn
• _PIAC
• _HMAU
• _OverUn
• _VypU
• _IPVUU
• _HMAEx

アドウェアは、以下のアプリケーションがコンピュータにインストールされているか、または実行されているかを確認します。

• TeamViewer_Desktop.exe
• DFServ.exe
• Fiddler2
• Wireshark
• Colasoft Capsa
• Angry IP Scanner
• Process Monitor
• regedit.exe
• Taskmgr.exe
• OLLYDBG.exe
• Regshot-x64-Unicode.exe
• Regshot-Unicode.exe

• _RDEx
• _VNEx
• _TVEx
• _DFEx
• _FiUn
• _WRSUn
• _WRSS
• _CAPUn
• _CAPS
• _AIPUn
• _AIPS
• _WRSU
• _CAPU
• _FiEx
• _WSHEx
• _CAPEx
• _AIPEx
• _PMEx
• _RGEx
• _TKEx
• _ODBGEx
• _RSEx

アドウェアは、以下のいずれかがコンピュータ上で実行されているかどうかを確認します。

• HMA! Pro VPN.exe
• newversion.tmp
• newversion.exe
• gentlemjmp_irow.exe
• Setup.exe
• Setup (1).exe
• Setup (2).exe
• unchecky_svc.exe
• unchecky_gb.exe

いずれかがコンピュータ上で実行されていることが確認された場合は、関連する"tag"を"UPD__SF_{実行中のプロセス}"として加えます。"{実行中のプロセス}"には以下のいずれかがあてはまります。

• _SETUP
• _PFREG
• _PFTK
• _PFPM
• _PORTAL
• _VPC
• _CLI
• _TVRcu
• _TVRcu
• _UCB

アドウェアは、以下のセキュリティ対策製品がコンピュータにインストールされているかどうかを確認します。

• AVG
• Avast
• Microsoft
• Avira
• Malwarebytes
• Comodo
• Panda
• G Data
• ESET-NOD32
• Symantec
• Kaspersky
• Windows Defender
• Baidu
• Ad-Aware
• McAfee
• K7 Computing
• Doctor Web
• Sophos
• NANO Antivirus

アドウェアは、以下のポートが使用されているかどうかを確認します。

• 5900
• 5901
• 5902
• 5903
• 5904

アドウェアは、ルートキット機能を備えていません。

アドウェアは、脆弱性を利用した感染活動を行いません。