ADW_OKITSPACE.GB

アドウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、ワーム活動の機能を備えていません。

アドウェアは、バックドア活動の機能を備えていません。

アドウェアは、感染コンピュータ上の特定の情報を収集します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

アドウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %Application Data%\BaseFlash\protect\ProtectExtension.exe - detected as ADW_OKITSPACE.GB
• %Application Data%\BaseFlash\protect\Interop.Shell32.dll
• %Application Data%\BaseFlash\protect\Newtonsoft.Json.dll
• %Application Data%\BaseFlash\protect\sqlite3.exe
• %Application Data%\BaseFlash\protect\utilsDll.dll
• %Application Data%\BaseFlash\protect\config.xml
• %Application Data%\BaseFlash\uninstallkit.exe
• %User Temp%\ns{random characters}.tmp\SimpleSC.dll - deleted afterwards
• %User Temp%\ns{random characters}.tmp\registry.dll - deleted afterwards
• %User Temp%\ns{random characters}.tmp\utils.dll - deleted afterwards

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %Application Data%\BaseFlash
• %Application Data%\BaseFlash\protect
• %User Temp%\ns{random value}.tmp - deleted afterwards

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvProtectExtension
ImagePath = "%Application Data%\BaseFlash\protect\ProtectExtension.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvProtectExtension
DisplayName = "Protect your browser's extensions and plugins"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvProtectExtension
Start = "2"

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvProtectExtension

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
flag = "{value}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
uninstall_visible = "{value}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
user_id = "{user id}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
channel_id = "{id}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
channel_subid = "{value}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
channel_param = "{value}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
installer_id = "{id}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
installer_version = "{version}"

HKEY_LOCAL_MACHINE\SOFTWARE\ProtectExtension
InstallDay = "{System Date and Time}

感染活動

アドウェアは、ワーム活動の機能を備えていません。

バックドア活動

アドウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

アドウェアは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://update.{BLOCKED}ash.com/lastplugin/
• http://update.{BLOCKED}ash.com/version/update.zip

情報漏えい

アドウェアは、感染コンピュータ上の以下の情報を収集します。

• System date and time
• Operating system and version
• UserID
• Default browser
• Installed browsers
• Browser Activities
• Installed Antivirus

その他

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ash.com/
• http://update.{BLOCKED}ash.com/version/
• https://sts.{BLOCKED}ash.com/software_stats/

アドウェアが作成する以下のファイルは、「ADW_OKITSPACE.GB」として検出されます。

• %Application Data%\BaseFlash\protect\ProtectExtension.exe

アドウェアが作成する以下のファイルは、その後削除されます。

• %User Temp%\ns{random characters}.tmp\SimpleSC.dll
• %User Temp%\ns{random characters}.tmp\registry.dll
• %User Temp%\ns{random characters}.tmp\utils.dll

アドウェアが作成する以下のフォルダは、その後削除されます。

• %User Temp%\ns{random value}.tmp

アドウェアが収集する感染コンピュータの情報は以下のとおりです。

• コンピュータの日付および時刻
• OSおよびそのバージョン
• ユーザID
• 初期設定のブラウザ
• インストールされたブラウザ
• ブラウザ活動
• インストールされたセキュリティ対策製品

アドウェアは、ブラウザプラグインを装います。インストールされると、アドウェアはブラウザのポップアップや広告をWebサイトに生成することができます。

アドウェアは、自身をインストールしたすべてのプラグインを監視します。いずれかのプラインが無効になった場合、アドウェアはすぐにそのプラグインを再度有効にします。いずれかのプラグインが削除された場合は、アドウェアはそのプラグインのコピーをダウンロードしインストールします。

アドウェアは、ルートキット機能を備えていません。

アドウェアは、脆弱性を利用した感染活動を行いません。