ADW_AIRADINSTALLER

2014年5月27日

解析者: Jimelle Monteser

別名:

AirInstaller (fs) (Sunbelt), Adware/AirAdInstaller (Fortinet), AdWare.Win32 (Ikarus), AdWare.Win32.AirAdInstaller.aldw (Kaspersky), a variant of Win32/AirAdInstaller.A application (NOD32)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: アドウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 827,304 bytes

タイプ EXE

メモリ常駐なし

発見日 2014年5月11日

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Temp%\setup.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のフォルダを作成します。

%User Temp%\{random folder name}
%User Temp%\{random folder name}\theme
%User Temp%\{random folder name}\theme\config
%User Temp%\{random folder name}\theme\css
%User Temp%\{random folder name}\theme\html
%User Temp%\{random folder name}\theme\images
%User Temp%\{random folder name}\theme\js
%User Temp%\{random folder name}\theme\software
%User Temp%\airinstaller

作成活動

アドウェアは、以下のファイルを作成します。

%User Temp%\{random folder name}\cancel_page.html
%User Temp%\{random folder name}\download_page.html
%User Temp%\{random folder name}\installer.html
%User Temp%\{random folder name}\installer_temp.html
%User Temp%\{random folder name}\intro_page.html
%User Temp%\{random folder name}\language.map
%User Temp%\{random folder name}\session.xml
%User Temp%\{random folder name}\summary_page.html
%User Temp%\{random folder name}\theme\config\settings.xml
%User Temp%\{random folder name}\theme\css\modal-overlay.css
%User Temp%\{random folder name}\theme\css\style.css
%User Temp%\{random folder name}\theme\de.lang
%User Temp%\{random folder name}\theme\es.lang
%User Temp%\{random folder name}\theme\html\cancelfooter.html
%User Temp%\{random folder name}\theme\html\cancelheader.html
%User Temp%\{random folder name}\theme\html\downloadpage.html
%User Temp%\{random folder name}\theme\html\footer.html
%User Temp%\{random folder name}\theme\html\header.html
%User Temp%\{random folder name}\theme\html\header_.html
%User Temp%\{random folder name}\theme\html\installoptionspage.html
%User Temp%\{random folder name}\theme\html\intropage.html
%User Temp%\{random folder name}\theme\html\offerfooter.html
%User Temp%\{random folder name}\theme\html\offerheader.html
%User Temp%\{random folder name}\theme\html\summarypage.html
%User Temp%\{random folder name}\theme\html\uninstaller.html
%User Temp%\{random folder name}\theme\images\100free.png
%User Temp%\{random folder name}\theme\images\bg.png
%User Temp%\{random folder name}\theme\images\bg_full.png
%User Temp%\{random folder name}\theme\images\bg_old.png
%User Temp%\{random folder name}\theme\images\btn_accept.png
%User Temp%\{random folder name}\theme\images\btn_decline.png
%User Temp%\{random folder name}\theme\images\btn_next.png
%User Temp%\{random folder name}\theme\images\btn_next_disabled.png
%User Temp%\{random folder name}\theme\images\btn_skip_all.png
%User Temp%\{random folder name}\theme\images\cancel.png 3KB
%User Temp%\{random folder name}\theme\images\complete.png
%User Temp%\{random folder name}\theme\images\done.png
%User Temp%\{random folder name}\theme\images\girl.png
%User Temp%\{random folder name}\theme\images\green_shield.png
%User Temp%\{random folder name}\theme\images\modal-overlay.png
%User Temp%\{random folder name}\theme\images\sprite-top.png
%User Temp%\{random folder name}\theme\images\sprite.png
%User Temp%\{random folder name}\theme\images\thumb.png
%User Temp%\{random folder name}\theme\images\thumb_lock.png
%User Temp%\{random folder name}\theme\images\top-sprite.png
%User Temp%\{random folder name}\theme\images\topbar.png
%User Temp%\{random folder name}\theme\images\yontoo-layers.png
%User Temp%\{random folder name}\theme\images\yontoo.png
%User Temp%\{random folder name}\theme\js\modal-overlay.js
%User Temp%\{random folder name}\theme\software\compat-1.png
%User Temp%\{random folder name}\theme\software\de.lang
%User Temp%\{random folder name}\theme\software\es.lang
%User Temp%\{random folder name}\theme\software\logo.png
%User Temp%\{random folder name}\theme\software\software-girl.png
%User Temp%\{random folder name}\theme\software\software.html
%User Temp%\{random folder name}\theme\software\title.png
%User Temp%\{random folder name}\uninstaller.html

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}.{BLOCKED}taller.com/get/event/?{random characters}
http://{BLOCKED}.{BLOCKED}taller.com/get/log/?{random characters}
http://{BLOCKED}.{BLOCKED}taller.com/get/launch/?{random characters}
http://{BLOCKED}.{BLOCKED}taller.com/get/session/?{random characters}
http://{BLOCKED}.{BLOCKED}taller.com/get/event/?{random characters}
http://{BLOCKED}.{BLOCKED}static.com/themes/theme_5/theme_5.zip
http://{BLOCKED}.{BLOCKED}taller.com/get/file_size/?{random characters}
http://cdn1.airdlrstatic.com/themes/theme_5/software_377.zip

対応方法

対応検索エンジン: 9.700

SSAPI パターンバージョン: 1.508.37

SSAPI パターンリリース日: 2014年5月12日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\{random folder name}
%User Temp%\airinstaller

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ADW_AIRADINSTALLER」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください