ADWARE_WHENU

2012年10月9日

解析者: Christopher Daniel So

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ:
アドウェア
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい

概要

アドウェアは、他のマルウェアに作成され、コンピュータに侵入します。アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、ポップアップ広告を表示します。

アドウェアは、アンインストールパッケージ機能を搭載しています。これにより、このアドウェアが作成したファイルや追加したレジストリは削除されます。

詳細

ファイルサイズ不定

タイプ PE

メモリ常駐はい

発見日 2008年4月28日

侵入方法

アドウェアは、他のマルウェアに作成され、コンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

%Program Files%\ClockSync\Sync.exe
%Program Files%\DAEMON Tools SearchBar\whse.exe
%Program Files%\Save\SaveUninst.exe
%Program Files%\WeatherCast\Weather.exe
%Program Files%\WhenUSearch\whse.exe
%System%\aamd532.dll
%System%\MSInet.ocx
%Windows%\system\gif89.dll
%Windows%\system\MSCOMCTL.OCX
%Windows%\system\Msstdfmt.dll
%Windows%\system\riched32.dll
%Windows%\system\SimpleRegistry.dll

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

アドウェアは、以下のフォルダを作成します。

%Application Data%\UControl
%Program Files%\ClockSync
%Program Files%\Common Files\UControl
%Program Files%\Common Files\WhenU
%Program Files%\DAEMON Tools SearchBar
%Program Files%\Save
%Program Files%\WeatherCast
%Program Files%\WhenUSearch
%Start Menu%\Programs\WhenUSearch

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WhenUSearch = "%Program Files%\WhenUSearch\Search.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WhenUSearchWHSE = "%Program Files%\WhenUSearch\whse.exe"

アドウェアは、以下のレジストリキーを追加し、自身を Browser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとアドウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{202B3533-0678-4BDA-95EF-ACCCD3FCA952}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{BA2325ED-F9EB-4830-8FCE-0BC35B16969B}

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\ACM.ACMFactory

HKEY_CLASSES_ROOT\ACM.ACMFactory.1

HKEY_CLASSES_ROOT\AppID\ACM.DLL

HKEY_CLASSES_ROOT\AppID\{127DF9B4-D75D-44A6-AF78-8C3A8CEB03DB}

HKEY_CLASSES_ROOT\CLSID\{0C4C45DB-A4DC-4CF4-8F1D-8CADF97855C9}

HKEY_CLASSES_ROOT\CLSID\{202B3533-0678-4BDA-95EF-ACCCD3FCA952}

HKEY_CLASSES_ROOT\CLSID\{28D47530-CF84-11D1-834C-00A0249F0C28}

HKEY_CLASSES_ROOT\CLSID\{2CF0B992-5EEB-4143-99C0-5297EF71F444}

HKEY_CLASSES_ROOT\CLSID\{389A5A59-1306-4389-A779-2EB9D0BC1FFB}

HKEY_CLASSES_ROOT\CLSID\{45E5DADB-DFDF-4FC3-A46C-DD34B6CDDB38}

HKEY_CLASSES_ROOT\CLSID\{4D5604E7-4737-40E9-819B-659922370515}

HKEY_CLASSES_ROOT\CLSID\{605FA8C6-995D-48DC-995E-EC3C06D6CA0F}

HKEY_CLASSES_ROOT\CLSID\{70271F18-B604-40FE-A8CD-15BAEB11ED84}

HKEY_CLASSES_ROOT\CLSID\{715839CD-ABEC-45D8-A83C-1275F2D837CD}

HKEY_CLASSES_ROOT\CLSID\{763BD795-24AE-44d7-82D8-F9A1EE799729}

HKEY_CLASSES_ROOT\CLSID\{A9AAE1AB-9688-42C5-86F5-C12F6B9015AD}

HKEY_CLASSES_ROOT\CLSID\{BA2325ED-F9EB-4830-8FCE-0BC35B16969B}

HKEY_CLASSES_ROOT\CLSID\{CB8ACEF9-1085-4B47-B969-963E56AA9543}

HKEY_CLASSES_ROOT\CLSID\{E2F2B9D0-96B9-4B25-B90C-636ECB207D18}

HKEY_CLASSES_ROOT\CLSID\{FC327B3F-377B-4CB7-8B61-27CD69816BC3}

HKEY_CLASSES_ROOT\CLSID\{FEE7FD53-3356-4D4D-8978-2C4AE3A7E109}

HKEY_CLASSES_ROOT\Gif89.Gif89

HKEY_CLASSES_ROOT\Gif89.Gif89.1

HKEY_CLASSES_ROOT\InetCtls.Inet

HKEY_CLASSES_ROOT\InetCtls.Inet.1

HKEY_CLASSES_ROOT\Interface\{0A65CA2B-EDB9-48B1-92DA-1D92C72498E4}

HKEY_CLASSES_ROOT\Interface\{236D7B88-595F-4330-9BCA-3050C6C4C091}

HKEY_CLASSES_ROOT\Interface\{2DB1A6DF-8120-47BD-9DCE-CFCD47B17B24}

HKEY_CLASSES_ROOT\Interface\{2F970EB7-3EA7-4AC1-BF38-FC22148EBACB}

HKEY_CLASSES_ROOT\Interface\{43382522-A846-46F4-AC57-1F71AE6E1086}

HKEY_CLASSES_ROOT\Interface\{572FB162-C0BA-4EDF-8CFF-E3846153B9B0}

HKEY_CLASSES_ROOT\Interface\{711648F0-5FF5-4C81-805E-A1AEDBAB4951}

HKEY_CLASSES_ROOT\Interface\{72A836D1-BC00-43C0-A941-17960E4FB842}

HKEY_CLASSES_ROOT\Interface\{8CBDBA78-8CD5-4037-BD94-67CD49958D23}

HKEY_CLASSES_ROOT\Interface\{A1A53286-D448-44EE-9660-F60A620A24B1}

HKEY_CLASSES_ROOT\Interface\{AB94D42B-64E9-436F-887C-CF38FE475CFC}

HKEY_CLASSES_ROOT\Interface\{BEAE14DB-A12A-442D-BF77-4644E3661211}

HKEY_CLASSES_ROOT\Interface\{F3208E7F-0E66-4F1D-BAB9-EF7EC870ED24}

HKEY_CLASSES_ROOT\PLAYGIF.PlayGifCtrl.1

HKEY_CLASSES_ROOT\SimpleRegistry.Registry

HKEY_CLASSES_ROOT\SimpleRegistry.Registry.1

HKEY_CLASSES_ROOT\TypeLib\{20752C25-2D97-4E6F-9EE2-94B74D202875}

HKEY_CLASSES_ROOT\TypeLib\{2CF0B992-5EEB-4143-99C0-5297EF71F445}

HKEY_CLASSES_ROOT\TypeLib\{5B061650-38AE-49B4-9F5D-35396B2CEFF5}

HKEY_CLASSES_ROOT\TypeLib\{916D4BE3-6B0F-4E73-871A-17BD6EF3B2F9}

HKEY_CLASSES_ROOT\TypeLib\{A001A440-E479-4FA9-8270-2CC9F0E69E2C}

HKEY_CLASSES_ROOT\TypeLib\{A71F6500-F41D-4775-808C-98A93F1F6B04}

HKEY_CLASSES_ROOT\TypeLib\{DF901432-1B9F-4F5B-9E56-301C553F9095}

HKEY_CLASSES_ROOT\UControlScanAndRemove.UControlScanner

HKEY_CLASSES_ROOT\WUDownld.WhenuDownload

HKEY_CLASSES_ROOT\WUDownld.WhenuDownload.1

HKEY_CLASSES_ROOT\WUSE.1

HKEY_CLASSES_ROOT\WhenU.EmbedSE

HKEY_CLASSES_ROOT\WhenU.EmbedSE.1

HKEY_CLASSES_ROOT\drs.n

HKEY_CLASSES_ROOT\wss_sp_gen.Class1

HKEY_CLASSES_ROOT\wss_sp_reg.Class1

HKEY_CURRENT_USER\SOFTWARE\Auralis\
Wsst Screen Savers

HKEY_CURRENT_USER\SOFTWARE\DR_S

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Internet Explorer\Explorer Bars\{715839CD-ABEC-45D8-A83C-1275F2D837CD}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Internet Explorer\Extensions\CmdMapping

HKEY_CURRENT_USER\SOFTWARE\WhenU

HKEY_CURRENT_USER\SOFTWARE\WhenU\
Weather

HKEY_CURRENT_USER\SOFTWARE\dfrprov

HKEY_CURRENT_USER\SOFTWARE\{2CF0B992-5EEB-4143-99C0-5297EF71F444}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Code Store Database\Distribution Units\{A27AD582-5BE5-4C2D-82F0-48B24FE02040}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Extensions\{737830B7-F1F9-4bae-A8FC-1433C71BEDFF}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Bikini Girls Screensaver

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
ClockSync

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Harley Davidson Signs SS

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Sakura Kinomoto

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SaveNow

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
UControl Scan and Remove

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
WeatherCast

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
WhenUSaveMsg

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
WhenUSavePBTB

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
WhenUSearch

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
WhenUSearchB

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{8669BD13-2C83-431A-95A9-24B69DAF3A41}

HKEY_LOCAL_MACHINE\SOFTWARE\UControl

HKEY_LOCAL_MACHINE\SOFTWARE\WhenU

HKEY_LOCAL_MACHINE\SOFTWARE\WhenUSave

HKEY_LOCAL_MACHINE\SOFTWARE\WhenUSearch

HKEY_LOCAL_MACHINE\SOFTWARE\WhenUShop

アドウェア活動

アドウェアは、ポップアップ広告を表示します。

その他

対応方法

対応検索エンジン: 9.200

SSAPI パターンバージョン: 0.707.00

SSAPI パターンリリース日: 2008年11月19日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CLASSES_ROOT
- ACM.ACMFactory
In HKEY_CLASSES_ROOT
- ACM.ACMFactory.1
In HKEY_CLASSES_ROOT
- Gif89.Gif89
In HKEY_CLASSES_ROOT
- Gif89.Gif89.1
In HKEY_CLASSES_ROOT
- InetCtls.Inet
In HKEY_CLASSES_ROOT
- InetCtls.Inet.1
In HKEY_CLASSES_ROOT
- PLAYGIF.PlayGifCtrl.1
In HKEY_CLASSES_ROOT
- SimpleRegistry.Registry
In HKEY_CLASSES_ROOT
- SimpleRegistry.Registry.1
In HKEY_CLASSES_ROOT
- UControlScanAndRemove.UControlScanner
In HKEY_CLASSES_ROOT
- WUDownld.WhenuDownload
In HKEY_CLASSES_ROOT
- WUDownld.WhenuDownload.1
In HKEY_CLASSES_ROOT
- WUSE.1
In HKEY_CLASSES_ROOT
- WhenU.EmbedSE
In HKEY_CLASSES_ROOT
- WhenU.EmbedSE.1
In HKEY_CLASSES_ROOT
- drs.n
In HKEY_CLASSES_ROOT
- wss_sp_gen.Class1
In HKEY_CLASSES_ROOT
- wss_sp_reg.Class1
In HKEY_CLASSES_ROOT\AppID
- ACM.DLL
In HKEY_CLASSES_ROOT\AppID
- {127DF9B4-D75D-44A6-AF78-8C3A8CEB03DB}
In HKEY_CLASSES_ROOT\CLSID
- {0C4C45DB-A4DC-4CF4-8F1D-8CADF97855C9}
In HKEY_CLASSES_ROOT\CLSID
- {202B3533-0678-4BDA-95EF-ACCCD3FCA952}
In HKEY_CLASSES_ROOT\CLSID
- {202B3533-0678-4BDA-95EF-ACCCD3FCA952}
In HKEY_CLASSES_ROOT\CLSID
- {28D47530-CF84-11D1-834C-00A0249F0C28}
In HKEY_CLASSES_ROOT\CLSID
- {2CF0B992-5EEB-4143-99C0-5297EF71F444}
In HKEY_CLASSES_ROOT\CLSID
- {389A5A59-1306-4389-A779-2EB9D0BC1FFB}
In HKEY_CLASSES_ROOT\CLSID
- {45E5DADB-DFDF-4FC3-A46C-DD34B6CDDB38}
In HKEY_CLASSES_ROOT\CLSID
- {4D5604E7-4737-40E9-819B-659922370515}
In HKEY_CLASSES_ROOT\CLSID
- {605FA8C6-995D-48DC-995E-EC3C06D6CA0F}
In HKEY_CLASSES_ROOT\CLSID
- {70271F18-B604-40FE-A8CD-15BAEB11ED84}
In HKEY_CLASSES_ROOT\CLSID
- {715839CD-ABEC-45D8-A83C-1275F2D837CD}
In HKEY_CLASSES_ROOT\CLSID
- {763BD795-24AE-44d7-82D8-F9A1EE799729}
In HKEY_CLASSES_ROOT\CLSID
- {A9AAE1AB-9688-42C5-86F5-C12F6B9015AD}
In HKEY_CLASSES_ROOT\CLSID
- {BA2325ED-F9EB-4830-8FCE-0BC35B16969B}
In HKEY_CLASSES_ROOT\CLSID
- {CB8ACEF9-1085-4B47-B969-963E56AA9543}
In HKEY_CLASSES_ROOT\CLSID
- {E2F2B9D0-96B9-4B25-B90C-636ECB207D18}
In HKEY_CLASSES_ROOT\CLSID
- {FC327B3F-377B-4CB7-8B61-27CD69816BC3}
In HKEY_CLASSES_ROOT\CLSID
- {FEE7FD53-3356-4D4D-8978-2C4AE3A7E109}
In HKEY_CLASSES_ROOT\Interface
- {0A65CA2B-EDB9-48B1-92DA-1D92C72498E4}
In HKEY_CLASSES_ROOT\Interface
- {236D7B88-595F-4330-9BCA-3050C6C4C091}
In HKEY_CLASSES_ROOT\Interface
- {2DB1A6DF-8120-47BD-9DCE-CFCD47B17B24}
In HKEY_CLASSES_ROOT\Interface
- {2F970EB7-3EA7-4AC1-BF38-FC22148EBACB}
In HKEY_CLASSES_ROOT\Interface
- {43382522-A846-46F4-AC57-1F71AE6E1086}
In HKEY_CLASSES_ROOT\Interface
- {572FB162-C0BA-4EDF-8CFF-E3846153B9B0}
In HKEY_CLASSES_ROOT\Interface
- {711648F0-5FF5-4C81-805E-A1AEDBAB4951}
In HKEY_CLASSES_ROOT\Interface
- {72A836D1-BC00-43C0-A941-17960E4FB842}
In HKEY_CLASSES_ROOT\Interface
- {8CBDBA78-8CD5-4037-BD94-67CD49958D23}
In HKEY_CLASSES_ROOT\Interface
- {A1A53286-D448-44EE-9660-F60A620A24B1}
In HKEY_CLASSES_ROOT\Interface
- {AB94D42B-64E9-436F-887C-CF38FE475CFC}
In HKEY_CLASSES_ROOT\Interface
- {BEAE14DB-A12A-442D-BF77-4644E3661211}
In HKEY_CLASSES_ROOT\Interface
- {F3208E7F-0E66-4F1D-BAB9-EF7EC870ED24}
In HKEY_CLASSES_ROOT\TypeLib
- {20752C25-2D97-4E6F-9EE2-94B74D202875}
In HKEY_CLASSES_ROOT\TypeLib
- {2CF0B992-5EEB-4143-99C0-5297EF71F445}
In HKEY_CLASSES_ROOT\TypeLib
- {5B061650-38AE-49B4-9F5D-35396B2CEFF5}
In HKEY_CLASSES_ROOT\TypeLib
- {916D4BE3-6B0F-4E73-871A-17BD6EF3B2F9}
In HKEY_CLASSES_ROOT\TypeLib
- {A001A440-E479-4FA9-8270-2CC9F0E69E2C}
In HKEY_CLASSES_ROOT\TypeLib
- {A71F6500-F41D-4775-808C-98A93F1F6B04}
In HKEY_CLASSES_ROOT\TypeLib
- {DF901432-1B9F-4F5B-9E56-301C553F9095}
In HKEY_CURRENT_USER\SOFTWARE\Auralis
- Wsst Screen Savers
In HKEY_CURRENT_USER\SOFTWARE
- DR_S
In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars
- {715839CD-ABEC-45D8-A83C-1275F2D837CD}
In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Extensions
- CmdMapping
In HKEY_CURRENT_USER\SOFTWARE
- WhenU
In HKEY_CURRENT_USER\SOFTWARE
- dfrprov
In HKEY_CURRENT_USER\SOFTWARE
- {2CF0B992-5EEB-4143-99C0-5297EF71F444}
In HKEY_LOCAL_MACHINE\SOFTWARE
- UControl
In HKEY_LOCAL_MACHINE\SOFTWARE
- WhenU
In HKEY_LOCAL_MACHINE\SOFTWARE
- WhenUSave
In HKEY_LOCAL_MACHINE\SOFTWARE
- WhenUSearch
In HKEY_LOCAL_MACHINE\SOFTWARE
- WhenUShop
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units
- {A27AD582-5BE5-4C2D-82F0-48B24FE02040}
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions
- {737830B7-F1F9-4bae-A8FC-1433C71BEDFF}
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
- {202B3533-0678-4BDA-95EF-ACCCD3FCA952}
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
- {BA2325ED-F9EB-4830-8FCE-0BC35B16969B}
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- Bikini Girls Screensaver
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- ClockSync
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- Harley Davidson Signs SS
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- Sakura Kinomoto
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- SaveNow
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- UControl Scan and Remove
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- WeatherCast
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- WhenUSaveMsg
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- WhenUSavePBTB
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- WhenUSearch
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- WhenUSearchB
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- {8669BD13-2C83-431A-95A9-24B69DAF3A41}

このマルウェアが追加したレジストリキーの削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ACM.ACMFactory
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ACM.ACMFactory.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Gif89.Gif89
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Gif89.Gif89.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
InetCtls.Inet
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
InetCtls.Inet.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
PLAYGIF.PlayGifCtrl.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
SimpleRegistry.Registry
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
SimpleRegistry.Registry.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
UControlScanAndRemove.UControlScanner
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WUDownld.WhenuDownload
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WUDownld.WhenuDownload.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WUSE.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenU.EmbedSE
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenU.EmbedSE.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
drs.n
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
wss_sp_gen.Class1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
wss_sp_reg.Class1
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>AppID
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ACM.DLL
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{127DF9B4-D75D-44A6-AF78-8C3A8CEB03DB}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>CLSID
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{0C4C45DB-A4DC-4CF4-8F1D-8CADF97855C9}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{202B3533-0678-4BDA-95EF-ACCCD3FCA952}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{202B3533-0678-4BDA-95EF-ACCCD3FCA952}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{28D47530-CF84-11D1-834C-00A0249F0C28}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{2CF0B992-5EEB-4143-99C0-5297EF71F444}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{389A5A59-1306-4389-A779-2EB9D0BC1FFB}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{45E5DADB-DFDF-4FC3-A46C-DD34B6CDDB38}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{4D5604E7-4737-40E9-819B-659922370515}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{605FA8C6-995D-48DC-995E-EC3C06D6CA0F}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{70271F18-B604-40FE-A8CD-15BAEB11ED84}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{715839CD-ABEC-45D8-A83C-1275F2D837CD}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{763BD795-24AE-44d7-82D8-F9A1EE799729}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{A9AAE1AB-9688-42C5-86F5-C12F6B9015AD}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{BA2325ED-F9EB-4830-8FCE-0BC35B16969B}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{CB8ACEF9-1085-4B47-B969-963E56AA9543}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{E2F2B9D0-96B9-4B25-B90C-636ECB207D18}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{FC327B3F-377B-4CB7-8B61-27CD69816BC3}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{FEE7FD53-3356-4D4D-8978-2C4AE3A7E109}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>Interface
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{0A65CA2B-EDB9-48B1-92DA-1D92C72498E4}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{236D7B88-595F-4330-9BCA-3050C6C4C091}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{2DB1A6DF-8120-47BD-9DCE-CFCD47B17B24}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{2F970EB7-3EA7-4AC1-BF38-FC22148EBACB}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{43382522-A846-46F4-AC57-1F71AE6E1086}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{572FB162-C0BA-4EDF-8CFF-E3846153B9B0}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{711648F0-5FF5-4C81-805E-A1AEDBAB4951}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{72A836D1-BC00-43C0-A941-17960E4FB842}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{8CBDBA78-8CD5-4037-BD94-67CD49958D23}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{A1A53286-D448-44EE-9660-F60A620A24B1}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{AB94D42B-64E9-436F-887C-CF38FE475CFC}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{BEAE14DB-A12A-442D-BF77-4644E3661211}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{F3208E7F-0E66-4F1D-BAB9-EF7EC870ED24}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>TypeLib
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{20752C25-2D97-4E6F-9EE2-94B74D202875}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{2CF0B992-5EEB-4143-99C0-5297EF71F445}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{5B061650-38AE-49B4-9F5D-35396B2CEFF5}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{916D4BE3-6B0F-4E73-871A-17BD6EF3B2F9}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{A001A440-E479-4FA9-8270-2CC9F0E69E2C}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{A71F6500-F41D-4775-808C-98A93F1F6B04}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{DF901432-1B9F-4F5B-9E56-301C553F9095}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>SOFTWARE>Auralis
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Wsst Screen Savers
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>SOFTWARE
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
DR_S
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>SOFTWARE>Microsoft>Internet Explorer>Explorer Bars
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{715839CD-ABEC-45D8-A83C-1275F2D837CD}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>SOFTWARE>Microsoft>Internet Explorer>Extensions
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
CmdMapping
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenU
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
dfrprov
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{2CF0B992-5EEB-4143-99C0-5297EF71F444}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
UControl
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenU
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUSave
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUSearch
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUShop
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Code Store Database>Distribution Units
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{A27AD582-5BE5-4C2D-82F0-48B24FE02040}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>Extensions
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{737830B7-F1F9-4bae-A8FC-1433C71BEDFF}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Browser Helper Objects
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{202B3533-0678-4BDA-95EF-ACCCD3FCA952}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{BA2325ED-F9EB-4830-8FCE-0BC35B16969B}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Bikini Girls Screensaver
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ClockSync
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Harley Davidson Signs SS
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Sakura Kinomoto
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
SaveNow
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
UControl Scan and Remove
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WeatherCast
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUSaveMsg
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUSavePBTB
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUSearch
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
WhenUSearchB
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{8669BD13-2C83-431A-95A9-24B69DAF3A41}
「レジストリエディタ」を閉じます。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- WhenUSearch = "%Program Files%\WhenUSearch\Search.exe"
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- WhenUSearchWHSE = "%Program Files%\WhenUSearch\whse.exe"

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%System%\aamd532.dll
%System%\MSInet.ocx
%Windows%\system\gif89.dll
%Windows%\system\MSCOMCTL.OCX
%Windows%\system\Msstdfmt.dll
%Windows%\system\riched32.dll
%Windows%\system\SimpleRegistry.dll

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Application Data%\UControl
%Program Files%\ClockSync
%Program Files%\Common Files\UControl
%Program Files%\Common Files\WhenU
%Program Files%\DAEMON Tools SearchBar
%Program Files%\Save
%Program Files%\WeatherCast
%Program Files%\WhenUSearch
%Start Menu%\Programs\WhenUSearch

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「ADWARE_WHENU」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください

ADWARE_WHENU

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

ADWARE_WHENU

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

The Americas

Asia Pacific

Europe, Middle East & Africa