Trend Micro Security

ADW_VOOTRA

2014年10月22日
 解析者: RonJay Kristoffer Caragay   
 別名:

Adware.Revealing (Symantec); PUP.Optional.Montera (Malwarebytes); PUA.Vonteera (Ikarus); a variant of Win32/AdWare.Vonteera.J (ESET-NOD32); Adware/Win32.Vonteera (AhnLab-V3);

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: アドウェア
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザのInternet Explorer（IE）のスタートページを特定のWebサイトに変更します。これにより、特定のマルウェアを含むWebサイトが表示され、感染コンピュータは、さらなる脅威にさらされる恐れがあります。

アドウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのアドウェアが削除されるのを避けます。 アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。 アドウェアは、自身を特定のアプリケーションのプラグイン／アドオン／拡張機能として装います。 アドウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 787,392 bytes
タイプ EXE
メモリ常駐 はい
発見日 2014年6月2日
ペイロード URLまたはIPアドレスに接続

侵入方法

アドウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\ARHome\uninstall.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

アドウェアは、以下のファイルを作成します。

  • %User Temp%\{random filename} ← old copy of Updater.exe
  • %Application Data%\ARHome\qhnsjt.dat
  • %Application Data%\ARHome\Updater.exe ← used to download update of itself
  • %Application Data%\Popper\ChompUpd.exe ← used to download update of itself
  • %Application Data%\rickos\SearchInstaller.exe ← use to change searchengine
  • %Application Data%\SPK\SPK.exe ← use to change browser's homepage
  • %Application Data%\VolIE\FoxPro_32.dll ← BHO - detected as ADW_VOOTRA.GBHO
  • %Application Data%\VolIE\FoxPro_64.dll ← BHO - detected as ADW_VOOTRA.GBHO
  • %Application Data%\VolIE\onload.js
  • %Application Data%\miaul\RJFC.exe ← update components file
  • %Application Data%\chrome-extension.localstorage
  • %Application Data%\ext.crx
  • %Application Data%\ext\background.html
  • %Application Data%\ext\background.js
  • %Application Data%\ext\bd_48.png
  • %Application Data%\ext\buzzdock.js
  • %Application Data%\ext\manifest.json

アドウェアは、以下の無害なファイルを作成します。

  • %Application Data%\Mozilla\Firefox\Profiles\{random}.default\searchPlugins\VenteeRo.xml
  • %Application Data%\Mozilla\Firefox\Profiles\{random}.default\user.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\background.html
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\background.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\bd_48.png
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\buzzdock.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\manifest.json
  • %AppDataLocal%\Google\Chrome\User Data\Default\Local Storage\chrome-extension__0.localstorage
  • %Program Files%\Mozilla Firefox\distribution
  • %Program Files%\Mozilla Firefox\distribution\bundles
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\filesrv.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\globals.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\main.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\main.xul
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\prefs.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\skin
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\skin\Vonteera-48-48.png
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\skin\vonteera.ico
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\tabs_listener.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome.manifest
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\install.rdf

アドウェアは、以下のフォルダを作成します。

  • %User Profile%\Application Data\ARHome
  • %Application Data%\Popper
  • %Application Data%\rickos
  • %Application Data%\SPK
  • %Application Data%\VolIE
  • %Application Data%\miaul

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ArHome = "\Application Data%\ARHome\Updater.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Popper = "%\Application Data%\SPK\SPK.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
miaul = "%\Application Data%\miaul\RJFC.exe"

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\ARHome

HKEY_CURRENT_USER\Software\Vonteera Safe ads

HKEY_CURRENT_USER\SOFTWARE\NoVooITSet

HKEY_CURRENT_USER\Software\NoVooIT

HKEY_CURRENT_USER\Software\Popper

アドウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\ARhome
Interval = "{hex values}"

HKEY_CURRENT_USER\Software\ARhome
Path = "%\Application Data%\ARHome"

HKEY_CURRENT_USER\Software\ARhome\
T
k = "{hex values}"

HKEY_CURRENT_USER\Software\ARhome\
T
t = "{hex values}"

HKEY_CURRENT_USER\Software\ARhome\
Data
Interval = "{hex values}"

HKEY_CURRENT_USER\Software\ARhome\
Data
CurrentVersion = "{version}"

HKEY_CURRENT_USER\Software\ARhome\
Data
Path = "%\Application Data%\NoVooITAddon"

HKEY_CURRENT_USER\Software\ARhome\
Data
LastUpdate = "{hex values}"

HKEY_CURRENT_USER\Software\ARhome\
Data
UpdateURL = "http://www.gamezerflash.info/ver.xml"

HKEY_CURRENT_USER\Software\NoVooIT
Lst = "{hex values}"

HKEY_CURRENT_USER\Software\NoVooITSet
default = "1"

HKEY_CURRENT_USER\Software\Popper
Interval = "{hex values}"

HKEY_CURRENT_USER\Software\Popper
Path = "%\Application Data%\Popper"

HKEY_CURRENT_USER\Software\Popper\
Data
Interval = "{hex values}"

HKEY_CURRENT_USER\Software\Popper\
Data
CurrentVersion = "{version}"

HKEY_CURRENT_USER\Software\Popper\
Data
Path = "%\Application Data%\Popper"

HKEY_CURRENT_USER\Software\Popper\
Data
LastUpdate = "{hex values}"

HKEY_CURRENT_USER\Software\Popper\
Data
UpdateURL = "https://s3.amazonaws.com/popper/ver.txt"

HKEY_CURRENT_USER\Software\Vonteera Safe ads
Path = "%\Application Data%\NoVooITAddon"

Webブラウザのホームページおよび検索ページの変更

アドウェアは、ユーザのIEのスタートページを以下のWebサイトに変更します。

  • "http://www.arabyonline.com/?src=1000"

ダウンロード活動

アドウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

  • http://www.{BLOCKED}e.info/a485885e/db393352.exe
  • http://www.{BLOCKED}l.info/422785e5fddc4/b749ae4c22.exe
  • http://www.{BLOCKED}l.info/422785e5fddc4/c7c095c8a7.exe
  • http://www.{BLOCKED}ia.info/2f636d47b3d649a/4d45c13.exe
  • http://www.{BLOCKED}e.info/a485885e/e08693.exe

アドウェアは、以下のファイル名でダウンロードしたファイルを保存します。

  • %User Temp%\MS{random}.exe ← updated copy of itself
  • %User Temp%\FH{random}.exe ← updated copy of itself

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

アドウェアは、以下のレジストリ値を追加し、「コントロールパネル」の「プログラムの追加と削除」に「アンインストール」オプションを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
ARHome
DisplayName = "ArHome"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
ARHome
Publisher = "NoVooIT"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
ARHome
UninstallString = "%\Application Data%\ARHome\uninstall.exe /uninstall=uninst"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
ARHome
URLInfoAbout = "http://www.adnetwork100.info"

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://www.{BLOCKED}s.com/aff/thanks/updater-thanks.php?t={value}&wti=1000&s=1000&sta=1
  • http://www.{BLOCKED}rflash.info/ver.php
  • http://www.{BLOCKED}orkeu.com/srv1/serv.js
  • http://www.{BLOCKED}s.com/Wow/file.php?

アドウェアは、自身を特定のアプリケーションのプラグイン／アドオン／拡張機能として装います。

  • Google Chrome
  • Mozilla Firefox
  • Internet Explorer

アドウェアは、実行後、自身を削除します。

  対応方法

対応検索エンジン: 9.700
SSAPI パターンバージョン: 1.556.46
SSAPI パターンリリース日: 2014年10月14日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「ADW_VOOTRA」 が作成またはダウンロードした不正なファイルを削除します。（註：以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。）

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 5

不明なレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software
    • ARhome
  • In HKEY_CURRENT_USER\Software
    • Popper
  • In HKEY_CURRENT_USER\Software
    • NoVooIT
  • In HKEY_CURRENT_USER\Software
    • NoVooITSet
  • In HKEY_CURRENT_USER\Software
    • Vonteera Safe ads
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall
    • ARHome

手順 6

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
    • DefaultScope = "{GUID 1}"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{GUID 1}
    • DisplayName = "VenteeRo"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{GUID 1}
    • URL = "http://www.arabyonline.com/search.php?src=1000&q={searchTerms}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes
    • DefaultScope = "{GUID 1}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{GUID 1}
    • DisplayName = "VenteeRo"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{GUID 1}
    • URL = "http://www.arabyonline.com/search.php?src=1000&q={searchTerms}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome
    • DefaultSearchProviderKeyword = "arabyonline"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome
    • DefaultSearchProviderName = "arabyonline"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome
    • DefaultSearchProviderSearchURL = "http://www.arabyonline.com/search.php?src=1000&q={searchTerms}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\Recommended
    • HomepageLocation = "http://www.arabyonline.com/?src=1000"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\RestoreOnStartupURLs
    • 1 = "http://www.arabyonline.com/?src=1000"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • ArHome = "%\Application Data%\ARHome\Updater.exe"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • Popper = "%\Application Data%\SPK\SPK.exe"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • miaul = "%\Application Data%\miaul\RJFC.exe"

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\ARHome
  • %Application Data%\Popper
  • %Application Data%\rickos
  • %Application Data%\SPK
  • %Application Data%\VolIE
  • %Application Data%\miaul
  • %Application Data%\ext

手順 8

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\chrome-extension.localstorage
  • %Application Data%\ext.crx
  • %Application Data%\Mozilla\Firefox\Profiles\{random}.default\searchPlugins\VenteeRo.xml
  • %Application Data%\Mozilla\Firefox\Profiles\{random}.default\user.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\background.html
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\background.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\bd_48.png
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\buzzdock.js
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\{random}\2.0.2_0\manifest.json
  • %AppDataLocal%\Google\Chrome\User Data\Default\Local Storage\chrome-extension__0.localstorage
  • %Program Files%\Mozilla Firefox\distribution
  • %Program Files%\Mozilla Firefox\distribution\bundles
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\filesrv.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\globals.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\main.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\main.xul
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\prefs.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\skin
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\skin\Vonteera-48-48.png
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\skin\vonteera.ico
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome\content\tabs_listener.js
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\chrome.manifest
  • %Program Files%\Mozilla Firefox\distribution\bundles\addon@Vonteera.com\install.rdf

手順 9

Internet Explorer（IE）のスタートページおよび検索ページの設定を修正します。

[ 詳細 ]

手順 10

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「ADW_VOOTRA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください