ADW_CROSSID

2015年11月6日

解析者: Rhena Inocencio

更新者 : Alvin Bacani

別名:

Win32/Packed.ScrambleWrapper.F (ESET-NO32)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: アドウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路ピアツーピア（P2P）の共有フォルダからのダウンロード, 他のマルウェアからの作成

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。アドウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

詳細

ファイルサイズ 441,728 bytes

タイプ EXE

メモリ常駐なし

発見日 2012年6月23日

ペイロードファイルの作成

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

%Program Files%\Savings Sidekick\Savings Sidekick.dll
%Program Files%\Savings Sidekick.ico
%Program Files%\Savings SidekickGui.exe
%Application Data%\Savings Sidekick\Chrome\Savings Sidekick.crx
%Program Files%\WhoDidThat
%Program Files%\WhoDidThat\background.html
%Program Files%\WhoDidThat\Installer.log
%Program Files%\WhoDidThat\Uninstall.exe
%Program Files%\WhoDidThat\WhoDidThat-bg.exe
%Program Files%\WhoDidThat\WhoDidThat-bho.dll
%Program Files%\WhoDidThat\WhoDidThat-buttonutil.dll
%Program Files%\WhoDidThat\WhoDidThat-buttonutil.exe
%Program Files%\WhoDidThat\WhoDidThat-codedownloader.exe
%Program Files%\WhoDidThat\WhoDidThat-helper.exe
%Program Files%\WhoDidThat\WhoDidThat.ico

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

アドウェアは、以下のフォルダを作成します。

%Program Files%\Savings Sidekick
%Application Data%\Savings Sidekick
%Program Files%\WhoDidThat

自動実行方法

アドウェアは、以下のレジストリキーを追加し、自身を Browser Helper Object（BHO）として登録します。

HKEY_CLASSES_ROOT\CrossriderApp{random number}.BHO

HKEY_CLASSES_ROOT\CLSID\{11111111-1111-1111-1111-110011501160}

HKEY_CLASSES_ROOT\CLSID\{22222222-2222-2222-2222-220022502260}

HKEY_CLASSES_ROOT\TypeLib\{44444444-4444-4444-4444-440044504460}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp{random number}.BHO

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011501160}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022502260}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044504460}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{11111111-1111-1111-1111-110011501160}

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Crossrider

HKEY_CURRENT_USER\Software\AppDataLow\
Software\WhoDidThat

HKEY_LOCAL_MACHINE\SOFTWARE\Google\
Chrome\Extensions\{random key name}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{11111111-1111-1111-1111-110011501160}

HKEY_CLASSES_ROOT\Local Settings\Software\
Microsoft\Windows\CurrentVersion\
AppContainer\Storage\windows_ie_ac_001\
Software\WhoDidThat

アドウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CrossriderApp{random number}.BHO
{Default} = "CrossriderApp{random number}"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.BHO\CLSID
{Default} = "{11111111-1111-1111-1111-110411561140}"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.BHO.1
{Default} = "CrossriderApp{random number}"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.BHO.1\CLSID
{Default} = "{11111111-1111-1111-1111-110411561140}"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.Sandbox
{Default} = "CrossriderApp{random number}.Sandbox"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.Sandbox\CLSID
{Default} = "{22222222-2222-2222-2222-220422562240}"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.Sandbox.1
{Default} = "CrossriderApp{random number}.Sandbox"

HKEY_CLASSES_ROOT\CrossriderApp{random number}.Sandbox.1\CLSID
{Default} = "{22222222-2222-2222-2222-220422562240}"

HKEY_CLASSES_ROOT\CLSID\{11111111-1111-1111-1111-110411561140}
{Default} = "WhoDidThat"

HKEY_CLASSES_ROOT\CLSID\{11111111-1111-1111-1111-110411561140}\
InprocServer32
{Default} = "%Program Files%\WhoDidThat\WhoDidThat-bho.dll"

HKEY_CLASSES_ROOT\CLSID\{11111111-1111-1111-1111-110411561140}\
ProgID
{Default} = "CrossriderApp{random number}.BHO.1"

HKEY_CLASSES_ROOT\CLSID\{22222222-2222-2222-2222-220422562240}
{Default} = "CrossriderApp{random number}.Sandbox"

HKEY_CLASSES_ROOT\CLSID\{22222222-2222-2222-2222-220422562240}\
InprocServer32
{Default} = "%Program Files%\WhoDidThat\WhoDidThat-bho.dll"

HKEY_CLASSES_ROOT\CLSID\{22222222-2222-2222-2222-220422562240}\
ProgID
{Default} = "CrossriderApp{random number}.Sandbox.1"

HKEY_CLASSES_ROOT\Interface\{55555555-5555-5555-5555-550455565540}
{Default} = "ICrossriderBHO"

HKEY_CLASSES_ROOT\Interface\{66666666-6666-6666-6666-660466566640}
{Default} = "ISandBox"

HKEY_CLASSES_ROOT\TypeLib\{44444444-4444-4444-4444-440444564440}\
1.0
{Default} = "%Program Files%\WhoDidThat\WhoDidThat-bho.dll"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\WhoDidThat
IsBhoEnabled = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{547e35c2-8694-4313-b91e-051351920945}
AppName = WhoDidThat-codedownloader.exe

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{547e35c2-8694-4313-b91e-051351920945}
AppPath = %Program Files%\WhoDidThat

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{59cd9ab4-e56e-4956-8e73-b37b2bb95950}
AppName = WhoDidThat-bg.exe

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{59cd9ab4-e56e-4956-8e73-b37b2bb95950}
AppPath = %Program Files%\WhoDidThat

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{59cd9ab4-e56e-4956-8e73-b37b2bb95950}
Policy = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{f3353189-3395-4bde-bf07-34946999a9b3}
AppName = WhoDidThat-buttonutil.exe

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{f3353189-3395-4bde-bf07-34946999a9b3}
AppPath = %Program Files%\WhoDidThat

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{f638fbab-66e7-43b0-b161-ac1de3b25e61}
Policy = "3"

HKEY_LOCAL_MACHINE\SOFTWARE\Google\
Chrome\Extensions\{random key name}
path = "%Application Data%\Savings Sidekick\Chrome\Savings Sidekick.crx"

HKEY_LOCAL_MACHINE\SOFTWARE\Google\
Chrome\Extensions\{random key name}
version = "1.18.9"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\LowRights\ElevationPolicy\
{11111111-1111-1111-1111-110011501160}
AppName = "Savings Sidekick.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\LowRights\ElevationPolicy\
{11111111-1111-1111-1111-110011501160}
AppPath = "%Program Files%\Savings Sidekick"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{11111111-1111-1111-1111-110011501160}
Policy = "3"

バックドア活動

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

http://{BLOCKED}atic.crossrider.com
http://{BLOCKED}s.{BLOCKED}yapp.com
http://{BLOCKED}ltrk.com
http://{BLOCKED}ider.{BLOCKED}l.net

対応方法

対応検索エンジン: 9.700

SSAPI パターンバージョン: 1.307.00

SSAPI パターンリリース日: 2012年7月14日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 3

自身のアンインストールオプションを使用し、「ADW_CROSSID」を削除します。

[ 詳細 ]

マルウェアのプロセスの削除

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Program Files%\Savings Sidekick\Savings Sidekick.dll
%Program Files%\Savings Sidekick.ico
%Program Files%\Savings SidekickGui.exe
%Application Data%\Savings Sidekick\Chrome\Savings Sidekick.crx

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
%Program Files%\Savings Sidekick\Savings Sidekick.dll
%Program Files%\Savings Sidekick.ico
%Program Files%\Savings SidekickGui.exe
%Application Data%\Savings Sidekick\Chrome\Savings Sidekick.crx
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%Program Files%\Savings Sidekick\Savings Sidekick.dll
%Program Files%\Savings Sidekick.ico
%Program Files%\Savings SidekickGui.exe
%Application Data%\Savings Sidekick\Chrome\Savings Sidekick.crx
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Program Files%\Savings Sidekick
%Application Data%\Savings Sidekick

このマルウェアまたはアドウェア等が作成したフォルダの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。

%Program Files%\Savings Sidekick
%Application Data%\Savings Sidekick
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 4.）を繰り返してください。

%Program Files%\Savings Sidekick
%Application Data%\Savings Sidekick

註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。

%Program Files%\Savings Sidekick
%Application Data%\Savings Sidekick
検索が終了したら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 3.）を繰り返してください。

%Program Files%\Savings Sidekick
%Application Data%\Savings Sidekick

註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 6

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「ADW_CROSSID」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください