• Email
• Facebook
• Twitter
• Google+
• Linkedin

ADW_LOLLIPORT.A

---

• マルウェアタイプ: アドウェア
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを作成します。

• %Program Files%\Vittalia
• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\nsu1B.tmp
• %User Temp%\nsk41.tmp
• %User Temp%\nsn51.tmp

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

アドウェアは、以下のファイルを削除します。

• %User Temp%\nso1.tmp
• %User Temp%\nsu1B.tmp
• %User Temp%\nsp3F.tmp
• %User Temp%\nsk41.tmp
• %User Temp%\nsc4F.tmp
• %User Temp%\nsn51.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia

HKEY_LOCAL_MACHINE\SOFTWARE\Vittalia\
AxtanInstaller

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
DisplayName = "Vittalia Installer"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
DisplayVersion = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
DisplayIcon = "%Program Files%\Vittalia\axtan.ico"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
Publisher = "es.FILEWIN.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
URLInfoAbout = "http://es.{BLOCKED}n.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
UninstallString = "%Program Files%\Vittalia\uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Vittalia
ie_startpage = "http://www.{BLOCKED}oft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"

HKEY_LOCAL_MACHINE\SOFTWARE\Vittalia\
AxtanInstaller
enduser_id = "71887422"

作成活動

アドウェアは、以下のファイルを作成します。

• %Program Files%\Vittalia\uninstall.exe
• %User Temp%\license.rtf
• %User Temp%\ajax_loader.gif
• %User Temp%\axtan.ico
• %User Temp%\instloffer.exe
• %User Temp%\square_babylonv3.bmp
• %User Temp%\toolbar_bbv3.bmp
• %User Temp%\square_babylonv2.bmp
• %User Temp%\toolbar_bbv2.bmp
• %User Temp%\square_babylon.bmp
• %User Temp%\toolbar_bb.bmp
• %User Temp%\iminent_toolbar.bmp
• %User Temp%\square_iminent.bmp
• %User Temp%\iminentv2_terms.rtf
• %User Temp%\moreinfo_iminent.bmp
• %User Temp%\square_dealply.bmp
• %User Temp%\dealply_largo.gif
• %User Temp%\moreinfo_offerbox.bmp
• %User Temp%\square_offerbox.bmp
• %User Temp%\square_lollipop.bmp
• %User Temp%\square_speedupmypc.bmp
• %User Temp%\moreinfo_speedupmypc.bmp
• %User Temp%\square_searchresults.bmp
• %User Temp%\nsu1B.tmp\modern-header.bmp
• %User Temp%\nsu1B.tmp\modern-wizard.bmp
• %User Temp%\nsu1B.tmp\ButtonEvent.dll
• %User Temp%\nsu1B.tmp\System.dll
• %User Temp%\nsu1B.tmp\inetc.dll
• %User Temp%\0001geo.tmp
• %User Temp%\0001api.tmp
• %User Temp%\nsu1B.tmp\nsArray.dll
• %User Temp%\dummy.htm
• %User Temp%\0001inst.tmp
• %User Temp%\nsu1B.tmp\nsDialogs.dll
• OK
• %User Temp%\nsu1B.tmp\BgWorker.dll
• %User Temp%\nsu1B.tmp\ExecDos.dll
• 393552
• %User Temp%\nsu1B.tmp\ThreadTimer.dll
• %User Temp%\nsu1B.tmp\Anuncios.dll
• %User Temp%\nsu1B.tmp\sarainetc2.dll
• %User Temp%\nsu1B.tmp\AnimGif.dll
• URL Parts Error
• %User Temp%\nsk41.tmp\inetc.dll
• %User Temp%\tbbabylonv3.exe
• %User Temp%\nsk41.tmp\nsExec.dll
• %User Temp%\nsk41.tmp\System.dll
• _EndIf
• %User Temp%\nsn51.tmp\inetc.dll
• %User Temp%\dealply.exe
• %User Temp%\nsn51.tmp\nsExec.dll
• File Not Found (404)

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://xmlinstcp.{BLOCKED}t.eu/cmd/geo.php
• http://xmlinstcp.{BLOCKED}t.eu/cmd/api.php?action=newenduser
• http://xmlinstcp.{BLOCKED}t.eu/cmd/api.php?{random characters}
• http://xmlinstcp.{BLOCKED}t.eu/cmd/report.php?{random characters}
• http://xmlinstcp.{BLOCKED}t.eu/xmlstatic/installers/software/babylon/babylonv3.exe
• http://xmlinstcp.{BLOCKED}t.eu/xmlstatic/installers/software/dealply/dp.exe
• {BLOCKED}.128.165
• {BLOCKED}0.1
• {BLOCKED}.128.135
• {BLOCKED}.228.45
• {BLOCKED}.33.11
• {BLOCKED}.29.95
• {BLOCKED}.228.57

このウイルス情報は、自動解析システムにより作成されました。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください