ADW_MEGASWELL

アドウェアは、他のマルウェアに作成され、コンピュータに侵入します。

アドウェアは、インターネットのブラウザ上で広告を表示します。

侵入方法

アドウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_DLOADR.LUT
• TROJ_DLWIMAD.SMI

アドウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://www.{BLOCKED}mesplayer.com/license.cgi
• http://www.{BLOCKED}tmp3player.com/license.cgi
• http://www.{BLOCKED}ablesongslive.com/license.cgi
• http://www.{BLOCKED}eatsongs.com/license.cgi
• http://www.{BLOCKED}ablesongslive.com/affiliates/772466/20/PLAY_MP3.exe

インストール

アドウェアは、以下のファイルを作成します。

• %Program Files%\{random string}\{random string}.dll - also detected as ADW_MEGASWELL

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

アドウェアは、以下の無害なファイルを作成します。

• %Program Files%\PlayMP3z\PlayMP3.exe
• %Program Files%\PlayMP3z\uninstall.exe
• %Program Files%\PlayMP3z\confirm.xml
• %Program Files%\{random string}\uninstall.exe
• %Start Menu%\Programs\PlayMP3z\Run PlayMP3z.pif

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。)

アドウェアは、以下のフォルダを作成します。

• %Start Menu%\Programs\PlayMP3z
• %Program Files%\{random string}
• %Program Files%\PlayMP3z

(註： %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。. %Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

アドウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとアドウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{CLSID 1}

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\{random string}.{random string}

HKEY_CLASSES_ROOT\{random string}.{random string}.1

HKEY_CLASSES_ROOT\AppID\{CLSID 2}

HKEY_CLASSES_ROOT\AppID\{random string}.DLL

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}

HKEY_CLASSES_ROOT\Interface\{CLSID 3}

HKEY_CLASSES_ROOT\TypeLib\{CLSID 4}

HKEY_CURRENT_USER\Software\MediaHoldings

HKEY_CURRENT_USER\Software\{random string}

HKEY_CURRENT_USER\Software\PlayMP3

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random string}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
PlayMP3

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{CLSID 1}
(Default) = "{random string}"

HKEY_CLASSES_ROOT\{random string}.{random string}
(Default) = "{random string}"

HKEY_CLASSES_ROOT\{random string}.{random string}\CLSID
(Default) = "{CLSID 1}"

HKEY_CLASSES_ROOT\{random string}.{random string}\CurVer
(Default) = "{random string}.{random string}.1"

HKEY_CLASSES_ROOT\{random string}.{random string}.1
(Default) = "{random string}"

HKEY_CLASSES_ROOT\{random string}.{random string}.1\CLSID
(Default) = "{CLSID 1}"

HKEY_CLASSES_ROOT\AppID\{CLSID 2}
(Default) = "{random string}"

HKEY_CLASSES_ROOT\AppID\{random string}.DLL
AppID = "{CLSID 2}"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}
(Default) = "{random string}"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}
AppID = "{CLSID 2}"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}\
InprocServer32
(Default) = "%Program Files%\{random string}\{random string}.dll"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}\
TypeLib
(Default) = "{CLSID 4}"

HKEY_CLASSES_ROOT\Interface\{CLSID 3}
(Default) = "I{random string}Object"

HKEY_CLASSES_ROOT\Interface\{CLSID 3}\
TypeLib
(Default) = "{CLSID 4}"

HKEY_CLASSES_ROOT\TypeLib\{CLSID 4}\
1.0
(Default) = "{random string} 1.0 Type Library"

HKEY_CLASSES_ROOT\TypeLib\{CLSID 4}\
1.0\0\win32
(Default) = "%Program Files%\{random string}\{random string}.dll"

アドウェア活動

アドウェアは、インターネットのブラウザ上で広告を表示します。