ADW_SWEETIM

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %User Temp%\ns{random letter}20.tmp\dAg
• %User Temp%\ns{random letter}20.tmp\locate.dll
• %User Temp%\ns{random character}20.tmp\nsProcess.dll
• %Desktop%\FTDownloader.lnk
• %Start Menu%\Programs\FTDownloader.com\FTDownloader.lnk
• %Start Menu%\Programs\FTDownloader.com\Uninstall.lnk
• %Program Files%\FTDownloader.com\uninst.exe

アドウェアは、以下のフォルダを作成します。

• %User Temp%\ns{random letter}20.tmp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\1ClickDownload

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
1ClickDownload

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon\shell

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon\shell\
open

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon\shell\
open\command

アドウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\1ClickDownload
LastInstall0 = 30413513

HKEY_CURRENT_USER\Software\1ClickDownload
LastInstall3 = 30413513

HKEY_CURRENT_USER\Software\1ClickDownload
UID = 296451073

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
1ClickDownload
Publisher = FTDOwnloader.com

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
1ClickDownload
DisplayName = FTDownloader

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
1ClickDownload
UninstallString = %Program Files%\FTDownloader.com\uninst.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
1ClickDownload
DisplayVersion = 2.1 Build 26473

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader
URL Protocol =

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader
(Default) = FTDownloader URI

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader
Content Type = application/x-FTDownloader

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon
(Default) = %Program Files%\FTDownloader.com\FTDownloader.exe,0

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon\shell
(Default) = open

HKEY_LOCAL_MACHINE\Software\Classes\
FTDownloader\DefaultIcon\shell\
open\command
(Default) = "%Program Files%\FTDownloader.com\FTDownloader.exe" /u="%1"

ダウンロード活動

アドウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Program Files%\FTDownloader.com\FTDownloader.exe
• %Program Files%\FTDownloader.com\FLTextsetup.exe

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• www1.{BLOCKED}sfiles.com/FTDownloader.exe
• www1.{BLOCKED}sfiles.com/ft3extsetup10.exe
• data.{BLOCKED}v.net/country.asp?st={data}
• data.{BLOCKED}v.net/ping2.asp?uid={data}