ADW_INSTALCOR

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのアドウェアが削除されるのを避けます。 アドウェアは、アンインストールパッケージ機能を搭載しています。これにより、このアドウェアが作成したファイルや追加したレジストリは削除されます。

侵入方法

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のコンポーネントファイルを作成します。

• %Program Files%\VideoConverter\VideoConverter.exe - detected as ADW_INSTALCOR

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

アドウェアは、以下の無害なファイルを作成します。

• %Program Files%\PDFCreator\Actual\CPWriter2.exe
• %Program Files%\PDFCreator\Actual\PDFWrite.rsp
• %Program Files%\PDFCreator\Actual\pdfwriter.exe
• %Program Files%\PDFCreator\Actual\Preferences.exe
• %Program Files%\PDFCreator\Actual\README.HTM
• %Program Files%\PDFCreator\Actual\setup.inf
• %Program Files%\PDFCreator\Actual\uninstwp.exe
• %All Users Profile%\Start Menu\Programs\PDFCreator\Preferences.lnk
• %All Users Profile%\Start Menu\Programs\PDFCreator\Readme.lnk
• %All Users Profile%\Start Menu\Programs\PDFCreator\Uninstall PDF Creator.lnk
• %All Users Profile%\Start Menu\Programs\VideoConverter\Uninstall.lnk
• %All Users Profile%\Start Menu\Programs\VideoConverter\VideoConverter.lnk
• %User Temp%\is{random numbers}\{random numbers}.cfg
• %User Temp%\is{random numbers}\{random numbers}_Setup.CIS
• %Program Files%\VideoConverter\bin\ffmpeg.exe
• %Program Files%\VideoConverter\uninstall.exe

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %User Temp%\is{random number}
• %User Temp%\ish{random number}
• %All Users Profile%\Start Menu\Programs\PDFCreator
• %Program Files%\PDFCreator
• %Program Files%\PDFCreator\Actual
• %Program Files%\VideoConverter
• %Program Files%\VideoConverter\bin

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFWTARE\CUSTPDF Writer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Print\
Printers\PDF Creator

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Print\Forms

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Print\Monitors\
CUSTPDF Writer Monitor x86

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Print\Printers\
PDF Creator

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
PDF Creator

HKEY_LOCAL_MACHINE\SOFTWARE\VideoConverter

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
VideoConverter

HKEY_CURRENT_USER\Software\InstallCore

HKEY_CURRENT_USER\Software\InstallCore\
Uninstall

HKEY_CURRENT_USER\Software\InstallCore\
Uninstall\{random}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
PDF Creator

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
VideoConverter

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFWTARE\CUSTPDF Writer\
CPWV305
Destination Folder = "%Program Files%\PDFCreator\Actual\"

HKEY_LOCAL_MACHINE\SOFTWARE\VideoConverter
Path = "%Program Files%\VideoConverter"

その他

アドウェアは、以下のレジストリ値を追加し、「コントロールパネル」の「プログラムの追加と削除」に「アンインストール」オプションを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
PDF Creator
DisplayName = "PDF Creator"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
PDF Creator
UninstallString = "%Program Files%\PDFCreator\Actual\uninstwp.exe %Program Files%\PDFCreator\Actual"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
VideoConverter
DisplayName = "VideoConverter"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
VideoConverter
UninstallString = "%Program Files%\VideoConverter\uninstall.exe"

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://cdnus.{BLOCKED}createorapp.com/app/Cmp/PDFCreatorV4.cis
• http://cdneu.{BLOCKED}createorapp.com/app/Cmp/PDFCreatorV4.cis
• http://{BLOCKED}-files.s3.amazonaws.com/exe/VideoConverterSetup.exe - download file also detected as ADW_INSTALCOR

アドウェアは、アンインストールパッケージ機能を搭載しています。これにより、このアドウェアが作成したファイルや追加したレジストリは削除されます。