ADW_INSTALLCORE

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにアドウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\ish{random number}\csshove3.htc
• %UserTemp%\is{random number}\{random number}.cfg
• %UserTemp%\is{random number}\{random number}_Setup.CIS

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %User Temp%\ish{random number}
• %User Temp%\is{random number}
• %Start Menu%\Programs\Uncompressor
• %Program Files%\Uncompressor
• %Program Files%\Uncompressor\Uninstall

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

アドウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor
DisplayIcon = "%Program Files%\Uncompressor\Uninstall\Uninstall.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor
DisplayName = "Uncompressor"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor
UninstallString = "%Program Files%\Uncompressor\Uninstall\Uninstall.exe /Uninstall"

アドウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor

ダウンロード活動

アドウェアは、以下の不正Webサイトにアクセスします。

• http://rp.{BLOCKED}freecdn.com/?pcrc={random}
• http://cdneu.{BLOCKED}ile.com - inaccessible
• http://os.{BLOCKED}ile.com - inaccessible
• http://rp.{BLOCKED}le.com - inaccessible
• http://cdneu.{BLOCKED}n.com/app/AfterDownload/uncompressor_big_repack.cis
• http://cdneu.{BLOCKED}n.com/ofr/BabylonToolbarV7.cis
• http://cdneu.{BLOCKED}n.com/ofr/IWantThis_ADL_ROW_V1.cis

その他

アドウェアがアクセスする以下のWebサイトは、現在アクセス不能です。

• http://cdneu.{BLOCKED}ile.com
• http://os.{BLOCKED}ile.com
• http://rp.{BLOCKED}le.com

アドウェアは、以下のアイコンを利用します。

アドウェアは、以下のインストールウィンドウのいずれかを表示します。

アドウェアは、以下のアプリケーションをインストールするかをユーザに確認します。

• Babylon's Toolbar
• IWantThis

アドウェアは、以下のインストールオプションのいずれかを表示します。

ユーザが上述のアプリケーションのインストールに同意した場合、アドウェアは、以下のファイルを作成および実行します。

• %User Temp%\is{random number}\MyBabylonTB.exe
• %User Temp%\is{random number}\IWantThis_ADL_ROW.exe - 「ADW_GAMEPLAYLABS」として検出

インストールされると、アドウェアは以下の無害なファイルを作成します。

• %Desktop%\Uncompressor.lnk
• %Start Menu%\Programs\Uncompressor\Uncompressor.lnk
• %Start Menu%\Programs\Uncompressor\Uninstall Uncompressor.lnk
• %Program Files%\Uncompressor\7z.dll
• %Program Files%\Uncompressor\uncompressor.exe
• %Program Files%\Uncompressor\Uninstall\uninst.dat
• %Desktop%\Continue FoxTab PDF Creator Installation.lnk

アドウェアは、自身のコピーとして以下のファイルのいずれかを作成します。

• %Program Files%\Uncompressor\Uninstall\Uninstall.exe
• %UserTemp%\ICReinstall_{Grayware File Name}.exe