Trend Micro Security

ADW_BGUARDIAN

2014年7月14日
 別名:

RDN/Generic.bfr!hi (McAfee); Adware.BL (Symantec); Trojan.Win32.Generic!BT (Sunbelt)

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: アドウェア
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 227,890 bytes
タイプ EXE
メモリ常駐 はい
発見日 2014年7月14日

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを作成します。

  • %System Root%\DOCUME~1
  • %System Root%\DOCUME~1\Wilbert
  • %User Profile%\LOCALS~1
  • %User Temp%\nss3.tmp
  • %System Root%\temp
  • %User Temp%\nsr10.tmp
  • %System Root%\Documents and Settings\Wilbert
  • %Application Data%\Browser Guardian
  • %Program Files%\Bench
  • %Program Files%\Bench\Updater
  • %Program Files%\Bench\Updater\1.7.0.0
  • %Start Menu%\Programs\Browser Guardian
  • %Program Files%\Bench\Proxy
  • %User Profile%\Application Data\Protect
  • %User Profile%\Protect\CanvasStorage
  • %Application Data%\BenchUpdater
  • %User Profile%\Protect\Blocker

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Bench Communicator Watcher = "%Program Files%\Bench\Proxy\pwdg.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Bench Settings Cleaner = "%Program Files%\Bench\Proxy\cl.exe"

他のシステム変更

アドウェアは、以下のファイルを削除します。

  • %User Temp%\nss1.tmp
  • %User Temp%\nss3.tmp
  • %User Temp%\nsmC.tmp
  • %User Temp%\nsr10.tmp
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\bottom_left3[1].png
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\bottom_right3[1].png
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\box02[1].gif
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\desktop.ini
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\top_left3[1].png
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\box04[1].gif
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\box08[1].gif
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\desktop.ini
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\header00b[1].gif
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\table_bottom3[1].png
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\background[1].gif
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\box06[1].gif
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\desktop.ini
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\table_right3[1].png
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\top_right3[1].png
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\desktop.ini
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\footer00[1].gif
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\table_left3[1].png
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\table_top3[1].png

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Temporary Internet Files%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Temporary Internet Files"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\Temporary Internet Files" です。)

アドウェアは、以下のフォルダを削除します。

  • %Temporary Internet Files%\Content.IE5\09RWHJQN
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6

(註：%Temporary Internet Files%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Temporary Internet Files"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\Temporary Internet Files" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Browser Guardian

HKEY_LOCAL_MACHINE\Software\AdvertisingSupport

HKEY_LOCAL_MACHINE\Software\Bench\
Updater

HKEY_LOCAL_MACHINE\Software\Bench\
Updater\38997

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian

HKEY_CURRENT_USER\Software\Proxy

HKEY_LOCAL_MACHINE\Software\Proxy

HKEY_LOCAL_MACHINE\Software\Proxy\
Installations\Browser Guardian

HKEY_LOCAL_MACHINE\Software\Bench\
InstalledExtensions

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
SystemId = "f7de4fbcf93049f2c062ec67454ba6c6"

HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
SystemId = "f7de4fbcf93049f2c062ec67454ba6c6"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
CDN = "browserguardian-a.akamaihd.net"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
InstallTime = "1403599869"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
Pid = "2032"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
UTCInstallTime = "1403625069"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
ZoneId = "622011"

HKEY_LOCAL_MACHINE\SOFTWARE
38997 = "Browser Guardian"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
SeenDate = "1403625069"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
Seen = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
SeenDate = "1403625069"

HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
Seen = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Bench\
Updater
path = "%Program Files%\Bench\Updater\updater.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
DisplayName = "Browser Guardian"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
DisplayVersion = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
Publisher = "Exciting Apps"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
DisplayIcon = "%Application Data%\Browser Guardian/icon.ico"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
InstallLocation = "%Application Data%\Browser Guardian"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
UninstallString = "%Application Data%\Browser Guardian\uninstall.exe "

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
38997_Browser Guardian
NoRepair = "1"

HKEY_CURRENT_USER\Software\Proxy
ProxyEnable = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy
ProxyEnable = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
aoi = "1403599869"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
pid = "2032"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
zoneid = "622011"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
domain = "browserguardian-a.akamaihd.net"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
ext = "Browser Guardian"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
format = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
protect_redirect_url = "http://{BLOCKED}rguardian.com/warning.php?%blocked_url%"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
settings_url = "http://{BLOCKED}rguardian.com/settings.php"

HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\
Installations\Browser Guardian
system_black_list_url = "http://browserguardian-a.{BLOCKED}hd.net/protect/rules.json"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyServer = "http=127.0.0.1:3128"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyEnable = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyServer = "http=127.0.0.1:3128"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxySettingsPerUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
AllowProxy = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
Existing = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
czoneid = "12199"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\Bench\Proxy\pwdg.exe = "%Program Files%\Bench\Proxy\pwdg.exe:*:Enabled:Proxy"

HKEY_CURRENT_USER\Software\Proxy
disableChainProxy = "0"

HKEY_CURRENT_USER\Software\Proxy
totalFail = "0"

アドウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography
MachineGuid = "{1E847F6E-EEA5-4871-ADBB-29A569A581D9}"

(註：変更前の上記レジストリ値は、「374096af-ba28-4e2f-ab4b-031066d93c3f」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyEnable = "1"

作成活動

アドウェアは、以下のファイルを作成します。

  • %User Temp%\nss3.tmp\UAC.dll
  • %User Temp%\nss3.tmp\System.dll
  • %User Temp%\nss3.tmp\NSISdl.dll
  • guardian.exe
  • %User Temp%\nss3.tmp\AccessControl.dll
  • %System Root%\temp\test.txt
  • %User Temp%\nsbE.tmp
  • %User Temp%\nsr10.tmp\ping.js
  • %User Temp%\nsr10.tmp\System.dll
  • %User Temp%\nsr10.tmp\md5dll.dll
  • %User Temp%\nsr10.tmp\nsExec.dll
  • %Application Data%\Browser Guardian\SoftwareDetector.exe
  • %Application Data%\Browser Guardian\projectInstaller.js
  • %Application Data%\Browser Guardian\installer.js
  • %Application Data%\Browser Guardian\common.js
  • %Application Data%\Browser Guardian\icon.ico
  • %Application Data%\Browser Guardian\main_installer.js
  • %Application Data%\Browser Guardian\info.xml
  • %Application Data%\Browser Guardian\migrate.js
  • %Application Data%\Browser Guardian\repair.js
  • %Program Files%\Bench\Updater\updater.exe
  • %Program Files%\Bench\Updater\1.7.0.0\updater.exe
  • %User Temp%\nsh2D.tmp
  • %User Temp%\nsh2F.tmp
  • %Application Data%\Browser Guardian\uninstall.exe
  • %Start Menu%\Programs\Browser Guardian\Uninstall.lnk
  • %Application Data%\Browser Guardian\firefox_installer.js
  • %Application Data%\Browser Guardian\chrome_installer.js
  • %Application Data%\Browser Guardian\ie_installer.js
  • %Application Data%\Browser Guardian\clear_cache.js
  • %User Temp%\nsr10.tmp\nsProcess.dll
  • %Program Files%\Bench\Proxy\proc.exe
  • %Program Files%\Bench\Proxy\pwdg.exe
  • %Program Files%\Bench\Proxy\icon.ico
  • %Program Files%\Bench\Proxy\cl.exe
  • %Start Menu%\Programs\Browser Guardian\Browser Guardian.lnk
  • %User Temp%\nsr10.tmp\pz_info
  • %Windows%\Tasks\bench-sys.job
  • %Windows%\Tasks\bench-S-1-5-21-1645522239-1292428093-682003330-1003.job
  • %Program Files%\Bench\Updater\products.xml
  • %Application Data%\proxy.log
  • %Application Data%\BenchUpdater\products.xml
  • %User Temp%\nsr10.tmp\get.dat
  • %User Profile%\CanvasStorage\ee9adb2bad520b37c67f38edc62ec22d
  • %User Profile%\CanvasStorage\a645fa10d3b7c3be385a23d8e9796994
  • %User Profile%\CanvasStorage\c8ca0d6097bee7d978cc54b0e9075409
  • %User Profile%\Blocker\212e90ffa529f5c99c44dc574c6f9a16
  • %User Profile%\Blocker\661d2a49ae9c29fdbdb0e735f567c5cf
  • %User Profile%\Blocker\b24f88eb229178ba93accf228dc5b280
  • %User Profile%\Blocker\8d3f613ded3421026a6b47abd4042139

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

  • http://contentcache-a.{BLOCKED}hd.net/check
  • http://contentcache-a.{BLOCKED}hd.net/protect/rules.json
  • {BLOCKED}5.190.41
  • {BLOCKED}81.207
  • {BLOCKED}0.1
  • {BLOCKED}.193.149
  • {BLOCKED}5.190.33
  • {BLOCKED}.51.156
  • {BLOCKED}60.222
  • {BLOCKED}5.190.25

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.700

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

不明なレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\Software
    • Browser Guardian
  • In HKEY_LOCAL_MACHINE\Software
    • AdvertisingSupport
  • In HKEY_LOCAL_MACHINE\Software\Bench
    • Updater
  • In HKEY_LOCAL_MACHINE\Software\Bench\Updater
    • 38997
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
    • 38997_Browser Guardian
  • In HKEY_CURRENT_USER\Software
    • Proxy
  • In HKEY_LOCAL_MACHINE\Software
    • Proxy
  • In HKEY_LOCAL_MACHINE\Software\Proxy\Installations
    • Browser Guardian
  • In HKEY_LOCAL_MACHINE\Software\Bench
    • InstalledExtensions

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • Bench Communicator Watcher = "%Program Files%\Bench\Proxy\pwdg.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • Bench Settings Cleaner = "%Program Files%\Bench\Proxy\cl.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • SystemId = "f7de4fbcf93049f2c062ec67454ba6c6"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
    • SystemId = "f7de4fbcf93049f2c062ec67454ba6c6"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • CDN = "browserguardian-a.akamaihd.net"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • InstallTime = "1403599869"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • Pid = "2032"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • UTCInstallTime = "1403625069"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • ZoneId = "622011"
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • 38997 = "Browser Guardian"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • SeenDate = "1403625069"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • Seen = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
    • SeenDate = "1403625069"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
    • Seen = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Bench\Updater
    • path = "%Program Files%\Bench\Updater\updater.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • DisplayName = "Browser Guardian"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • DisplayVersion = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • Publisher = "Exciting Apps"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • DisplayIcon = "%Application Data%\Browser Guardian/icon.ico"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • InstallLocation = "%Application Data%\Browser Guardian"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • UninstallString = "%Application Data%\Browser Guardian\uninstall.exe "
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • NoModify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\38997_Browser Guardian
    • NoRepair = "1"
  • In HKEY_CURRENT_USER\Software\Proxy
    • ProxyEnable = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy
    • ProxyEnable = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • aoi = "1403599869"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • pid = "2032"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • zoneid = "622011"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • domain = "browserguardian-a.akamaihd.net"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • ext = "Browser Guardian"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • format = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • protect_redirect_url = "http://{BLOCKED}rguardian.com/warning.php?%blocked_url%"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • settings_url = "http://{BLOCKED}rguardian.com/settings.php"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Proxy\Installations\Browser Guardian
    • system_black_list_url = "http://browserguardian-a.{BLOCKED}hd.net/protect/rules.json"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • ProxyServer = "http=127.0.0.1:3128"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
    • ProxyEnable = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
    • ProxyServer = "http=127.0.0.1:3128"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
    • ProxySettingsPerUser = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • AllowProxy = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\AdvertisingSupport
    • Existing = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Browser Guardian
    • czoneid = "12199"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Program Files%\Bench\Proxy\pwdg.exe = "%Program Files%\Bench\Proxy\pwdg.exe:*:Enabled:Proxy"
  • In HKEY_CURRENT_USER\Software\Proxy
    • disableChainProxy = "0"
  • In HKEY_CURRENT_USER\Software\Proxy
    • totalFail = "0"

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography
    • From: MachineGuid = "{1E847F6E-EEA5-4871-ADBB-29A569A581D9}"
      To: MachineGuid = ""374096af-ba28-4e2f-ab4b-031066d93c3f""
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • ProxyEnable = "1"

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\nss3.tmp\UAC.dll
  • %User Temp%\nss3.tmp\System.dll
  • %User Temp%\nss3.tmp\NSISdl.dll
  • guardian.exe
  • %User Temp%\nss3.tmp\AccessControl.dll
  • %System Root%\temp\test.txt
  • %User Temp%\nsbE.tmp
  • %User Temp%\nsr10.tmp\ping.js
  • %User Temp%\nsr10.tmp\System.dll
  • %User Temp%\nsr10.tmp\md5dll.dll
  • %User Temp%\nsr10.tmp\nsExec.dll
  • %Application Data%\Browser Guardian\SoftwareDetector.exe
  • %Application Data%\Browser Guardian\projectInstaller.js
  • %Application Data%\Browser Guardian\installer.js
  • %Application Data%\Browser Guardian\common.js
  • %Application Data%\Browser Guardian\icon.ico
  • %Application Data%\Browser Guardian\main_installer.js
  • %Application Data%\Browser Guardian\info.xml
  • %Application Data%\Browser Guardian\migrate.js
  • %Application Data%\Browser Guardian\repair.js
  • %Program Files%\Bench\Updater\updater.exe
  • %Program Files%\Bench\Updater\1.7.0.0\updater.exe
  • %User Temp%\nsh2D.tmp
  • %User Temp%\nsh2F.tmp
  • %Application Data%\Browser Guardian\uninstall.exe
  • %Start Menu%\Programs\Browser Guardian\Uninstall.lnk
  • %Application Data%\Browser Guardian\firefox_installer.js
  • %Application Data%\Browser Guardian\chrome_installer.js
  • %Application Data%\Browser Guardian\ie_installer.js
  • %Application Data%\Browser Guardian\clear_cache.js
  • %User Temp%\nsr10.tmp\nsProcess.dll
  • %Program Files%\Bench\Proxy\proc.exe
  • %Program Files%\Bench\Proxy\pwdg.exe
  • %Program Files%\Bench\Proxy\icon.ico
  • %Program Files%\Bench\Proxy\cl.exe
  • %Start Menu%\Programs\Browser Guardian\Browser Guardian.lnk
  • %User Temp%\nsr10.tmp\pz_info
  • %Windows%\Tasks\bench-sys.job
  • %Windows%\Tasks\bench-S-1-5-21-1645522239-1292428093-682003330-1003.job
  • %Program Files%\Bench\Updater\products.xml
  • %Application Data%\proxy.log
  • %Application Data%\BenchUpdater\products.xml
  • %User Temp%\nsr10.tmp\get.dat
  • %User Profile%\CanvasStorage\ee9adb2bad520b37c67f38edc62ec22d
  • %User Profile%\CanvasStorage\a645fa10d3b7c3be385a23d8e9796994
  • %User Profile%\CanvasStorage\c8ca0d6097bee7d978cc54b0e9075409
  • %User Profile%\Blocker\212e90ffa529f5c99c44dc574c6f9a16
  • %User Profile%\Blocker\661d2a49ae9c29fdbdb0e735f567c5cf
  • %User Profile%\Blocker\b24f88eb229178ba93accf228dc5b280
  • %User Profile%\Blocker\8d3f613ded3421026a6b47abd4042139

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\DOCUME~1
  • %System Root%\DOCUME~1\Wilbert
  • %User Profile%\LOCALS~1
  • %User Temp%\nss3.tmp
  • %System Root%\temp
  • %User Temp%\nsr10.tmp
  • %System Root%\Documents and Settings\Wilbert
  • %Application Data%\Browser Guardian
  • %Program Files%\Bench
  • %Program Files%\Bench\Updater
  • %Program Files%\Bench\Updater\1.7.0.0
  • %Start Menu%\Programs\Browser Guardian
  • %Program Files%\Bench\Proxy
  • %User Profile%\Application Data\Protect
  • %User Profile%\Protect\CanvasStorage
  • %Application Data%\BenchUpdater
  • %User Profile%\Protect\Blocker

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「ADW_BGUARDIAN」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %User Temp%\nss1.tmp
  • %User Temp%\nss3.tmp
  • %User Temp%\nsmC.tmp
  • %User Temp%\nsr10.tmp
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\bottom_left3[1].png
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\bottom_right3[1].png
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\box02[1].gif
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\desktop.ini
  • %Temporary Internet Files%\Content.IE5\09RWHJQN\top_left3[1].png
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\box04[1].gif
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\box08[1].gif
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\desktop.ini
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\header00b[1].gif
  • %Temporary Internet Files%\Content.IE5\BVLBNMKH\table_bottom3[1].png
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\background[1].gif
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\box06[1].gif
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\desktop.ini
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\table_right3[1].png
  • %Temporary Internet Files%\Content.IE5\ZDGZNKA5\top_right3[1].png
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\desktop.ini
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\footer00[1].gif
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\table_left3[1].png
  • %Temporary Internet Files%\Content.IE5\ZSGKJKO6\table_top3[1].png


ご利用はいかがでしたか？　アンケートにご協力ください