SPYW_HIJACK

スパイウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

スパイウェアは、ユーザのInternet Explorer（IE）のスタートページを特定のWebサイトに変更します。これにより、特定のマルウェアを含むWebサイトが表示され、感染コンピュータは、さらなる脅威にさらされる恐れがあります。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}55.vo.msecnd.net/snapdo-website-version/Smartbar.Installer.Mini.exe
• http://{BLOCKED}p.do

インストール

スパイウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\Mozilla\Firefox\Profiles\4wwmjcqo.default
• %Application Data%\SmartbarBar

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Browser Infrastructure Helper = "%Application Data%\Smartbar\Application\SnapDo.exe startup"

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\ApprovedExtensionsMigration
{AE07101B-46D4-4A98-AF68-0333EA26E113} =

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Search
Default_Search_URL = "http://search.snap.do/?q={searchTerms}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Search
SearchAssistant = "http://search.snap.do/?q={searchTerms}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes
DefaultScope = "{006ee092-9658-4fd6-bd8e-a21a348e59f5}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing
ShowTabsWelcome = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing
UseHomepageForNewTab = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TabbedBrowsing
NewTabPageShow = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Search Bar = "http://search.snap.do/?q={searchTerms}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Use Search Asst = "yes"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchUrl
Default = "http://search.snap.do/?q={searchTerms}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\SearchUrl
Default = "http://search.snap.do/?q={searchTerms}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Toolbar
{ae07101b-46d4-4a98-af68-0333ea26e113} = "Smartbar"

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\IESmartBar.BandObjectAttribute

HKEY_CLASSES_ROOT\IESmartBar.BHO

HKEY_CLASSES_ROOT\IESmartBar.DockingPanel

HKEY_CLASSES_ROOT\IESmartBar.IESmartBar

HKEY_CLASSES_ROOT\IESmartBar.IESmartBarBandObject

HKEY_CLASSES_ROOT\IESmartBar.SmartbarDisplayState

HKEY_CLASSES_ROOT\IESmartBar.SmartbarMenuForm

HKEY_CURRENT_USER\Software\Smartbar

HKEY_CURRENT_USER\Software\SmartbarBackup

HKEY_CURRENT_USER\Software\SmartbarLog

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Features\5A924A563B25F714ABA48100E97D69BE

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\5A924A563B25F714ABA48100E97D69BE

HKEY_CURRENT_USER\Software\Microsoft\
Installer\UpgradeCodes\5E8031606EB60A64C882918F8FF38DD4

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{006ee092-9658-4fd6-bd8e-a21a348e59f5}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{31ad400d-1b06-4e33-a59a-90c2c140cba0}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\SearchScopes\{006ee092-9658-4fd6-bd8e-a21a348e59f5}

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、ユーザのIEのスタートページを以下のWebサイトに変更します。

• http://search.{BLOCKED}p.do/

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}55.vo.msecnd.net