ADW_DOWNWARE.GF

2015年8月21日

解析者: Sammy Chua

別名:

Downloader.Win32.Agent.ebvi (Kaspersky); W32/Generic.AC.2003 (Fortinet); Trojan.Agent (Ikarus)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

詳細

ファイルサイズ 5,033,968 bytes

タイプ EXE

メモリ常駐はい

発見日 2015年8月20日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%User Temp%\nsp7.tmp
%User Temp%\nse8.tmp\Banner.dll
%User Temp%\nse8.tmp\KPTool.dll
%User Temp%\nse8.tmp\System.dll
%User Temp%\nse8.tmp\NSISdl.dll
%User Temp%\nse8.tmp\nsf9.tmp
%User Temp%\nse8.tmp\inetc.dll
%User Temp%\nse8.tmp\data.xml
%User Temp%\nse8.tmp\nsisXML.dll
%User Temp%\nse8.tmp\close.png
%User Temp%\nse8.tmp\bg.bmp
%User Temp%\nse8.tmp\EmbedWeb.dll
%User Temp%\nse8.tmp\sndsock.dll
%User Temp%\nse8.tmp\check.png
%User Temp%\nse8.tmp\browse.png
%User Temp%\nse8.tmp\button.png
%User Temp%\nse8.tmp\nsDialogs.dll
%User Temp%\nse8.tmp\Button.dll
%User Temp%\nse8.tmp\ToolTips.dll
%User Temp%\nse8.tmp\img.png
%Program Files%\haitunrili\Clock32.dll
%Program Files%\haitunrili\Clock64.dll
%Program Files%\haitunrili\Power.exe
%Program Files%\haitunrili\SoftUpd.exe
%Program Files%\haitunrili\Vstart64.exe
%Program Files%\haitunrili\clock32.exe
%Program Files%\haitunrili\clock64.exe
%Program Files%\haitunrili\htrl.exe
%Program Files%\haitunrili\online_c.html
%Program Files%\haitunrili\uninst.exe
%Program Files%\haitunrili\Data\2013.xml
%Program Files%\haitunrili\Data\2013JieQi.xml
%Program Files%\haitunrili\Data\2014.xml
%Program Files%\haitunrili\Data\2014JieQi.xml
%Program Files%\haitunrili\Data\HuangLi.mdb
%Program Files%\haitunrili\Data\UserNoteText.xml
%Program Files%\haitunrili\Data\index.html
%Program Files%\haitunrili\360Ini.dll
%Program Files%\haitunrili\SoftApp.ini
%Program Files%\haitunrili\Vstart32.dll
%Program Files%\haitunrili\Vstart64.dll
%Program Files%\haitunrili\Config.ini
%User Temp%\nse8.tmp\check.png
%User Temp%\nse8.tmp\button.png
%Program Files%\Common Files\haitunrili\haitunrili.ini
%All Users Profile%\Start Menu\Programs\????\????.url
%Program Files%\haitunrili\????.url
%All Users Profile%\Start Menu\Programs\????\????.lnk
%All Users Profile%\Start Menu\Programs\????\????.lnk
%All Users Profile%\Start Menu\Programs\????\??????.lnk
%User Temp%\nse8.tmp\mem.exe
%User Temp%\nse8.tmp\mem.dll
%User Temp%\service_log.txt
%All Users Profile%\Application Data\005410.ico
%User Temp%\360IniVerify.ini
%All Users Profile%\Desktop\ÍøÖ·µ¼º½.lnk
%All Users Profile%\Start Menu\Programs\ÍøÖ·µ¼º½.lnk
%Application Data%\Microsoft\Internet Explorer\Quick Launch\ÍøÖ·µ¼º½.lnk
%User Temp%\nse8.tmp\plugin.dll
%Favorites%\ÍøÖ·Ö®¼Ò.url
%Favorites%\Links\ÍøÖ·Ö®¼Ò.url
%Favorites%\ÃÀÅ®Ðã³¡.url
%Favorites%\Links\ÃÀÅ®Ðã³¡.url
%Favorites%\ÃÀÅ®ÕæÈËÐã.url
%Favorites%\Links\ÃÀÅ®ÕæÈËÐã.url
%Favorites%\ÃÀÅ®Ö±²¥Ðã.url
%Favorites%\Links\ÃÀÅ®Ö±²¥Ðã.url
%Favorites%\90ÃÀÅ®ÊÓÆµ.url
%Favorites%\Links\90ÃÀÅ®ÊÓÆµ.url
%Favorites%\ÈÈÑª´«Ææ.url
%Favorites%\Links\ÈÈÑª´«Ææ.url
%Favorites%\¸ßÊÕÒæÀí²Æ-ÅÄÅÄ´û.url
%Favorites%\Links\¸ßÊÕÒæÀí²Æ-ÅÄÅÄ´û.url
%Favorites%\1ÔªÇÀiphone6-¶á±¦´ó¿§,×îhighµÄÒ»Ôª¹ºÎïÍøÕ¾.url
%Favorites%\Links\1ÔªÇÀiphone6-¶á±¦´ó¿§,×îhighµÄÒ»Ôª¹ºÎïÍøÕ¾.url
%Favorites%\ºÚ°µÖ®ÃÅ.url
%Favorites%\Links\ºÚ°µÖ®ÃÅ.url
%Favorites%\ÖÐ¹ú»é²©»áÃâ·ÑË÷Æ±.url
%Favorites%\Links\ÖÐ¹ú»é²©»áÃâ·ÑË÷Æ±.url
%Favorites%\×ÏÔÆÐÇ×ùÍø.url
%Favorites%\Links\×ÏÔÆÐÇ×ùÍø.url
%Favorites%\Ã¿ÈÕôÜÊÂ.url
%Favorites%\Links\Ã¿ÈÕôÜÊÂ.url
%Favorites%\½ñÈÕÍ·ÌõÐÂÎÅ.url
%Favorites%\Links\½ñÈÕÍ·ÌõÐÂÎÅ.url
%Favorites%\½¡¿µÑøÉú.url
%Favorites%\Links\½¡¿µÑøÉú.url
%User Temp%\nse8.tmp\rmth.exe
%User Temp%\nse8.tmp\xycqby.exe
%User Temp%\nse8.tmp\ZipDLL.dll
%User Temp%\nse8.tmp\setup.conf
%Program Files%\xycqby\setup.conf
%Program Files%\xycqby\xy_lander.exe
%User Temp%\nse8.tmp\data.xml
%Application Data%\xy\cqby\Lander.ini
%Desktop%\XY´«Ææ°ÔÒµÎ¢¶Ë.lnk
%Program Files%\haitunrili\lnkicon.ico
%Program Files%\haitunrili\.url
%Desktop%\.lnk
%User Temp%\nse8.tmp\rmth.exe
%User Temp%\nse8.tmp\bdl.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Favorites" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
htrl.exe

HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "10"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "100"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "20"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
htrl.exe
(default) = "%Program Files%\haitunrili\htrl.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
htrl.exe
Path = "%Program Files%\haitunrili"

HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili
InstallPath = "%Program Files%\haitunrili\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
DisplayName = "???? 1.2.3.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
UninstallString = "%Program Files%\haitunrili\Uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
DisplayIcon = "%Program Files%\haitunrili\htrl.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
DisplayVersion = 1.2.3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
Publisher = ???

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
URLInfoAbout = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
InstallLocation = "%Program Files%\haitunrili\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
rlbRunByWindowsStart = ""%Program Files%\haitunrili\htrl.exe" RunDateByStartAuto"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}i.{BLOCKED}ao.com.cn/xml/LinkConfig.xml
http://{BLOCKED}new.{BLOCKED}t.com/xml/LinkConfig.php
http://{BLOCKED}n1.{BLOCKED}in.net/shichangbu/htrltj1.html?1411287d5ee
http://d{BLOCKED}n1.{BLOCKED}in.net/shichangbu/htrltj2.html?1411287d5ee
http://{BLOCKED}l.{BLOCKED}e.com/gf/360IniVerify.cab
http://{BLOCKED}n1.{BLOCKED}n.net/shichangbu2/icon.ico
http://{BLOCKED}l.{BLOCKED}e.com/gf/360ini.cab
http://{BLOCKED}1.{BLOCKED}n.net/shichangbu/xycqby.gif
http://{BLOCKED}i.{BLOCKED}ao.com.cn/xml/LinkConfig.xml
http://{BLOCKED}ew.{BLOCKED}t.com/xml/LinkConfig.php
http://{BLOCKED}i.{BLOCKED}2.net/sc/ico/toutiao.ico
http://www.{BLOCKED}y.com/lander/cqby2?adkey=10278&refer=xywancom&uid=cqby&version=3000&installtime=20150821&runcount=1&curtime=20150821105455&showlogintype=3®times=1
http://{BLOCKED}n1.{BLOCKED}n.net/shichangbu/bdimesetupstandalone.exe
http://{BLOCKED}c.{BLOCKED}g.net/cn/static/landers/cqby2/css/style.css?v=3
http://{BLOCKED}c.{BLOCKED}g.net/common/js/jquery-1.8.3.min.js
http://{BLOCKED} .wanyouxi7.com/xy/cqby/official/app.ini
http://{BLOCKED}1.{BLOCKED}n.net/shichangbu/bdimesetupstandalone.exe
http://{BLOCKED}1.{BLOCKED}in.net/shichangbu/bdimesetupstandalone.exe
http://{BLOCKED}1.{BLOCKED}n.net/shichangbu/bdimesetupstandalone.exe

対応方法

対応検索エンジン: 9.750

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このマルウェアのパス名およびファイル名を確認します｡
最新のバージョン（エンジン、スパイウェアパターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「ADW_DOWNWARE.GF」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
- Enable = 1
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
- Size = 10
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
- InitHits = 100
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
- Factor = 20
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\htrl.exe
- (default) = %Program Files%\haitunrili\htrl.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\htrl.exe
- Path = %Program Files%\haitunrili
In HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili
- InstallPath = %Program Files%\haitunrili\
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- DisplayName = ???? 1.2.3.0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- UninstallString = %Program Files%\haitunrili\Uninst.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- DisplayIcon = %Program Files%\haitunrili\htrl.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- DisplayVersion = 1.2.3.0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- Publisher = ????
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- URLInfoAbout
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
- InstallLocation = %Program Files%\haitunrili\
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- rlbRunByWindowsStart = "%Program Files%\haitunrili\htrl.exe" RunDateByStartAuto

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>International>CpMRU
右側のパネルで以下のレジストリ値を検索し、削除します。
Enable = 1
右側のパネルで以下のレジストリ値を検索し、削除します。
Size = 10
右側のパネルで以下のレジストリ値を検索し、削除します。
InitHits = 100
右側のパネルで以下のレジストリ値を検索し、削除します。
Factor = 20
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>App Paths>htrl.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
(default) = %Program Files%\haitunrili\htrl.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
Path = %Program Files%\haitunrili
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>haitunrili
右側のパネルで以下のレジストリ値を検索し、削除します。
InstallPath = %Program Files%\haitunrili\
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall>????
右側のパネルで以下のレジストリ値を検索し、削除します。
DisplayName = ???? 1.2.3.0
右側のパネルで以下のレジストリ値を検索し、削除します。
UninstallString = %Program Files%\haitunrili\Uninst.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
DisplayIcon = %Program Files%\haitunrili\htrl.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
DisplayVersion = 1.2.3.0
右側のパネルで以下のレジストリ値を検索し、削除します。
Publisher = ????
右側のパネルで以下のレジストリ値を検索し、削除します。
URLInfoAbout =
右側のパネルで以下のレジストリ値を検索し、削除します。
InstallLocation = %Program Files%\haitunrili\
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
右側のパネルで以下のレジストリ値を検索し、削除します。
rlbRunByWindowsStart = "%Program Files%\haitunrili\htrl.exe" RunDateByStartAuto
「レジストリエディタ」を閉じます。

手順 6

このレジストリキーを削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\htrl.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「ADW_DOWNWARE.GF」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ADW_DOWNWARE.GF」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください