ADW_FACEMOODS

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにアドウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %User Temp%\ns{2 random characters}\ACCEPT.bmp
• %User Temp%\ns{2 random characters}\ACCEPT_on.bmp
• %User Temp%\ns{2 random characters}\AGREE_on.bmp
• %User Temp%\ns{2 random characters}\BACK.bmp
• %User Temp%\ns{2 random characters}\background.ole
• %User Temp%\ns{2 random characters}\BACKNEXT_on.bmp
• %User Temp%\ns{2 random characters}\BLANK.bmp
• %User Temp%\ns{2 random characters}\CANCEL.bmp
• %User Temp%\ns{2 random characters}\DECLINE.bmp
• %User Temp%\ns{2 random characters}\DISAGREE.bmp
• %User Temp%\ns{2 random characters}\FINISH_on.bmp
• %User Temp%\ns{2 random characters}\inetc.dll
• %User Temp%\ns{2 random characters}\linker.dll
• %User Temp%\ns{2 random characters}\NEXT_off.bmp
• %User Temp%\ns{2 random characters}\NEXT_on.bmp
• %User Temp%\ns{2 random characters}\NO.bmp
• %User Temp%\ns{2 random characters}\nsDialogs.dll
• %User Temp%\ns{2 random characters}\pwgen.dll
• %User Temp%\ns{2 random characters}\S_{malware filename}.zip.ini
• %User Temp%\ns{2 random characters}\System.dll
• %User Temp%\ns{2 random characters}\YES_on.bmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

アドウェアは、以下のファイルを作成し実行します。

• %User Temp%\ns{2 random characters}\rkverify.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\dlQUE

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\dlQUE
PGMid = "{random characters}"

ダウンロード活動

アドウェアは、以下の不正Webサイトにアクセスします。

• http://www.{BLOCKED}es.com/site_installerapp_images/A/{malware filename}.jpg
• http://www.{BLOCKED}es.com/404.php
• http://www.{BLOCKED}es.com/site_installerapp_images/default.jpg
• http://www.{BLOCKED}es.com/site_installerapp_info/A/{malware filename}.ini
• http://www.{BLOCKED}es.com/404.php
• http://{BLOCKED}l.webdevaz.netdna-cdn.com/site_advertisers/rkverify.exe