ADW_SEARCHCLOUD

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ダウンロードしたファイルを実行します。この結果、アドウェアの不正活動が感染コンピュータ上で展開されることとなります。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %Program Files%\SearchCloud\Setup_SearchCloudHidden.exe
• %Program Files%\SearchCloud\Uninstall.exe
• %Program Files%\SearchCloud\Uninstall.ini

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

アドウェアは、以下のフォルダを作成します。

• %Program Files%\SearchCloud

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SearchCloud = "%Program Files%\SearchCloud\pluskeyU.exe" (if download was not successful)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SearchCloud = "%Program Files%\SearchCloud\SearchCloudU.exe" (if download was successful)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Key

HKEY_CURRENT_USER\Software\Microsoft\
Key\sKey

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchCloud

HKEY_CURRENT_USER\Software\SearchCloud

アドウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Key\sKey
serial = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Key\sKey
sChk = "1"

HKEY_CURRENT_USER\Software\SearchCloud
exec = "1001"

HKEY_CURRENT_USER\Software\SearchCloud
update = "1001"

HKEY_CURRENT_USER\Software\SearchCloud
pid = "searchcloud"

HKEY_CURRENT_USER\Software\SearchCloud
Run Date = "{date of last execution of SearchCloud.exe}"

アドウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchCloud
DisplayName = "SearchCloud"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchCloud
DisplayIcon = "%Program Files%\SearchCloud\Uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchCloud
UninstallString = "%Program Files%\SearchCloud\Uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchCloud
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchCloud
NoRepair = "1"

ダウンロード活動

アドウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://search.{BLOCKED}her.com/support/serialMk.asp?mode=serial&domain=searchcloud
• http://search.{BLOCKED}her.com/product/version.asp?domain=searchcloud&serial={random characters}
• http://search.{BLOCKED}her.com/support/installPro.asp?domain=searchcloud&serial={random characters}&sort=INS
• http://search.{BLOCKED}her.com/product/log.asp?serial={random characters}

アドウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://search.{BLOCKED}her.com/product/program/SearchCloud/1001/searchcloud/DelLog.exe
• http://search.{BLOCKED}her.com/product/program/SearchCloud/1001/searchcloud/SearchCloud.dll
• http://search.{BLOCKED}her.com/product/program/SearchCloud/1001/searchcloud/SearchCloud.exe
• http://search.{BLOCKED}her.com/product/program/SearchCloud/1001/searchcloud/SearchCloudU.exe
• http://search.{BLOCKED}her.com/product/program/SearchCloud/1001/searchcloud/Uninstall.exe
• http://search.{BLOCKED}her.com/product/program/SearchCloud/1001/searchcloud/Uninstall.ini

アドウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Program Files%\SearchCloud\DelLog.exe
• %Program Files%\SearchCloud\SearchCloud.dll
• %Program Files%\SearchCloud\SearchCloud.exe
• %Program Files%\SearchCloud\SearchCloudU.exe
• %Program Files%\SearchCloud\Uninstall.exe
• %Program Files%\SearchCloud\Uninstall.ini

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

アドウェアは、ダウンロードしたファイルを実行します。この結果、アドウェアの不正活動が感染コンピュータ上で展開されることとなります。