ADW_CAMPAU

2014年4月4日

別名:

AdWare.Win32.Agent.aiwa (Kaspersky); Adware.Agent (Sunbelt); The file is signed by an untrusted certificate, issued by: Maucampo.E25. (AVG)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: アドウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 2,281,408 bytes

タイプ EXE

メモリ常駐なし

発見日 2014年4月4日

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを作成します。

%System Root%\DOCUME~1
%System Root%\DOCUME~1\Wilbert
%User Profile%\LOCALS~1
%User Temp%\nsy6.tmp
%Program Files%\maucampo
%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%System%\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData
%System%\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache
%System%\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

他のシステム変更

アドウェアは、以下のファイルを削除します。

%User Temp%\nsd4.tmp
%User Temp%\nsy6.tmp
%User Temp%\nsy6.tmp\ns1B.tmp
%User Temp%\nsy6.tmp\ns1E.tmp
%Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.444.44856796
%Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.444.44856796
%User Profile%\v2.0.50727.42\security.config.cch.444.44857046

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Classes\
CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3}

HKEY_CURRENT_USER\Software\maucampo

HKEY_LOCAL_MACHINE\Software\maucampo\
Chrome

HKEY_LOCAL_MACHINE\Software\maucampo\
Internet Explorer

HKEY_LOCAL_MACHINE\Software\maucampo\
Firefox

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
Update maucampo

アドウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\maucampo
is = "def_maucampo"

HKEY_CURRENT_USER\Software\maucampo
iid = "def_maucampo"

HKEY_CURRENT_USER\Software\maucampo
id = "2014-04-02 23:36:56"

HKEY_LOCAL_MACHINE\SOFTWARE\maucampo\
Chrome
sgc = "true"

HKEY_LOCAL_MACHINE\SOFTWARE\maucampo\
Internet Explorer
sie = "false"

HKEY_LOCAL_MACHINE\SOFTWARE\maucampo\
Firefox
sff = "false"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
Update maucampo
EventMessageFile = "%Windows%\Microsoft.NET\Framework\v2.0.50727\EventLogMessages.dll"

アドウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"