Adware.Win32.OpenCandy.GIDFI

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを追加します。

• %Program Files%\Acro Software\CutePDF Writer
• %Start Menu%\Programs\CutePDF\PDF Writer
• %User Temp%\{GUID}
• %User Temp%\is-{random}.tmp
• %User Temp%\is-{random}.tmp\_isetup
• %User Temp%\is-{random}.tmp\Driver
• %User Temp%\is-{random}.tmp\Driver\x64

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のファイルを作成します。

• %Program Files%\Acro Software\CutePDF Writer\CPWSave.exe
• %Program Files%\Acro Software\CutePDF Writer\PDFWrite.rsp
• %Program Files%\Acro Software\CutePDF Writer\README.HTM
• %Program Files%\Acro Software\CutePDF Writer\uninscpw.exe
• %Start Menu%\Programs\CutePDF\PDF Writer\Readme.lnk
• %System%\cpwmon2k.dll
• %System%\spool\drivers\w32x86\CUTEPDFW.PPD
• %System%\spool\drivers\w32x86\PS5UI.DLL
• %System%\spool\drivers\w32x86\PSCRIPT.HLP
• %System%\spool\drivers\w32x86\PSCRIPT.NTF
• %System%\spool\drivers\w32x86\PSCRIPT5.DLL
• %User Temp%\_is{random}.dll
• %User Temp%\_is{random}.tmp
• %User Temp%\_MSI5166._IS
• %User Temp%\{GUID}\_ISMSIDEL.INI
• %User Temp%\{GUID}\0x{hex numbers}.ini
• %User Temp%\{GUID}\1033.MST
• %User Temp%\{GUID}\Ask Toolbar.msi
• %User Temp%\{GUID}\Setup.INI
• %User Temp%\{GUID}\Windows Installer 3.0 for Windows XP and later (x86).prq
• %User Temp%\~{random}.tmp
• %User Temp%\install_log.log
• %User Temp%\is-{random}.tmp\_isetup\_RegDLL.tmp
• %User Temp%\is-{random}.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-{random}.tmp\Ask_Logo.bmp
• %User Temp%\is-{random}.tmp\Ask_Toolbar.bmp
• %User Temp%\is-{random}.tmp\AskInstallChecker.exe
• %User Temp%\is-{random}.tmp\askToolbarInstaller.exe
• %User Temp%\is-{random}.tmp\cpwmon2k.dll
• %User Temp%\is-{random}.tmp\CPWSave.exe
• %User Temp%\is-{random}.tmp\CuteWriter.tmp
• %User Temp%\is-{random}.tmp\Driver\CUTEPDFW.PPD
• %User Temp%\is-{random}.tmp\Driver\Cutepdfw.spd
• %User Temp%\is-{random}.tmp\Driver\FONTS.MFM
• %User Temp%\is-{random}.tmp\Driver\ICONLIB.DLL
• %User Temp%\is-{random}.tmp\Driver\is-{random}.tmp
• %User Temp%\is-{random}.tmp\Driver\PS5UI.DLL
• %User Temp%\is-{random}.tmp\Driver\PSCRIPT.DRV
• %User Temp%\is-{random}.tmp\Driver\PSCRIPT.HLP
• %User Temp%\is-{random}.tmp\Driver\PSCRIPT.INI
• %User Temp%\is-{random}.tmp\Driver\PSCRIPT.NTF
• %User Temp%\is-{random}.tmp\Driver\PSCRIPT5.DLL
• %User Temp%\is-{random}.tmp\Driver\PSMON.DLL
• %User Temp%\is-{random}.tmp\Driver\TESTPS.TXT
• %User Temp%\is-{random}.tmp\Driver\x64\is-{random}.tmp
• %User Temp%\is-{random}.tmp\Driver\x64\PS5UI.DLL
• %User Temp%\is-{random}.tmp\Driver\x64\PSCRIPT.HLP
• %User Temp%\is-{random}.tmp\Driver\x64\PSCRIPT.NTF
• %User Temp%\is-{random}.tmp\Driver\x64\PSCRIPT5.DLL
• %User Temp%\is-{random}.tmp\is-{random}.tmp
• %User Temp%\is-{random}.tmp\OCSetupHlp.dll
• %User Temp%\is-{random}.tmp\PDFWrite.rsp
• %User Temp%\is-{random}.tmp\Readme.htm
• %User Temp%\is-{random}.tmp\Setup.exe
• %User Temp%\is-{random}.tmp\UNINSCPW.exe
• %User Temp%\is-{random}.tmp\WizModernSmallImage-IS.bmp
• %User Temp%\NEWFB00.tmp.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation
DisplayName = CutePDF Writer 2.8

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation
UninstallString = %Program Files%\Acro Software\CutePDF Writer\uninscpw.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer
Destination Folder = %Program Files%\Acro Software\CutePDF Writer

バックドア活動

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://websearch.{BLOCKED}k.com/interim/askbardis/getTbProperties.jsp?tbr=ARS
• http://websearch.{BLOCKED}k.com/preinstall?client=ic&tb=ARS&r=0&ipid=&npid=ARS&iev=8&ielu=0&fflu=0&iv=&nv=1.8.0.0&clientv=1.5.0.0&rep=0