ADW_XTAB

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\nsy6.tmp
• %Program Files%\STab
• %Program Files%\STab\skin
• %Program Files%\STab\skin\image
• %User Profile%\Application Data\IHProtectUpDate
• %User Profile%\IHProtectUpDate\update

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

アドウェアは、以下のファイルを削除します。

• %User Temp%\nsy4.tmp
• %User Temp%\nsy6.tmp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\SupDp

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
STab

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes

HKEY_LOCAL_MACHINE\SOFTWARE\IHProtect

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\SupDp
dir = "%Program Files%\STab"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
STab
UninstallString = "%Program Files%\STab\uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
STab
DisplayName = "STab"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
STab
DisplayIcon = "%Program Files%\STab\STab"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
STab
DisplayVersion = "4.0.1.1251"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Page_URL = "http://www.{BLOCKED}9.com/?type=hppp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Search_URL = "http://www.{BLOCKED}9.com/web/?type=dspp&q={searchTerms}"

アドウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}9.com/?type=hppp"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Page_URL = "http://www.{BLOCKED}9.com/?type=hppp"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}9.com/?type=hppp"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Search
CustomizeSearch = "http://www.{BLOCKED}9.com/web/?type=dspp&q={searchTerms}"

(註：変更前の上記レジストリ値は、「http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Search
SearchAssistant = "http://www.{BLOCKED}9.com/web/?type=dspp&q={searchTerms}"

(註：変更前の上記レジストリ値は、「http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Search Page = "http://www.{BLOCKED}9.com/web/?type=dspp&q={searchTerms}"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Default_Search_URL = "http://www.{BLOCKED}9.com/web/?type=dspp&q={searchTerms}"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Search Page = "http://www.{BLOCKED}9.com/web/?type=dspp&q={searchTerms}"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch」となります。)

作成活動

アドウェアは、以下のファイルを作成します。

• %System Root%\STab_v4.0.exe
• %User Temp%\nsy6.tmp\System.dll
• %User Temp%\nsy6.tmp\modern-header.bmp
• %Program Files%\STab\BrowerWatchCH.dll
• %Program Files%\STab\BrowerWatchFF.dll
• %Program Files%\STab\BrowserAction.dll
• %Program Files%\STab\CmdShell.exe
• %Program Files%\STab\HPNotify.exe
• %Program Files%\STab\IeWatchDog.dll
• %Program Files%\STab\ProtectService.exe
• %Program Files%\STab\conf
• %Program Files%\STab\msvcp110.dll
• %Program Files%\STab\msvcr110.dll
• %Program Files%\STab\skin\about.png
• %Program Files%\STab\skin\about_bk.png
• %Program Files%\STab\skin\btn.png
• %Program Files%\STab\skin\btn_apply.png
• %Program Files%\STab\skin\close.png
• %Program Files%\STab\skin\conf.xml
• %Program Files%\STab\skin\conf_back.png
• %Program Files%\STab\skin\input_bk.png
• %Program Files%\STab\skin\logo.png
• %Program Files%\STab\skin\main.xml
• %Program Files%\STab\skin\radio_1.png
• %Program Files%\STab\skin\radio_2.png
• %Program Files%\STab\skin\rigth_arrow.png
• %Program Files%\STab\skin\settings.png
• %Program Files%\STab\uninstall.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}z.cc/{random path}
• {BLOCKED}209.234
• {BLOCKED}.35.142

このウイルス情報は、自動解析システムにより作成されました。