• Email
• Facebook
• Twitter
• Google+
• Linkedin

ADW_WHENU.GA

---

• マルウェアタイプ: アドウェア
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを追加します。

• %Program Files%\DAEMON Tools
• %Program Files%\DAEMON Tools\Lang
• %Program Files%\DAEMON Tools\Icons
• %Program Files%\DAEMON Tools\Plugins
• %Program Files%\DAEMON Tools\Plugins\Images
• %Program Files%\DAEMON Tools\URL1
• %Start Menu%\Programs\DAEMON Tools
• %User Temp%\ns{random characters}.tmp

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のファイルを作成します。

• %Desktop%\DAEMON Tools.lnk
• %Program Files%\DAEMON Tools\AdVantageSetup.exe
• %Program Files%\DAEMON Tools\chkupd.exe
• %Program Files%\DAEMON Tools\cryptapi.dll
• %Program Files%\DAEMON Tools\daemon.dll
• %Program Files%\DAEMON Tools\daemon.exe
• %Program Files%\DAEMON Tools\Icons\tray1.ico
• %Program Files%\DAEMON Tools\Icons\tray2.ico
• %Program Files%\DAEMON Tools\Lang\ENU.dll
• %Program Files%\DAEMON Tools\pfctoc.dll
• %Program Files%\DAEMON Tools\Plugins\Images\bw5mount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\bwtmount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\ccdmount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\cuemount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\iszmount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\mdsmount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\nrgmount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\pdimount.dll
• %Program Files%\DAEMON Tools\Plugins\Images\pfcmount.dll
• %Program Files%\DAEMON Tools\setup.cfg
• %Program Files%\DAEMON Tools\uninst.exe
• %Program Files%\DAEMON Tools\URL1\setup.cfg
• %Start Menu%\Programs\DAEMON Tools\DAEMON Tools.lnk
• %Start Menu%\Programs\DAEMON Tools\Uninstall.lnk
• %System%\drivers\sptd.sys
• %User Temp%\ns{random characters}.tmp\dtsetup.ini
• %User Temp%\ns{random characters}.tmp\HomePage.ini
• %User Temp%\ns{random characters}.tmp\InstallOptions.dll
• %User Temp%\ns{random characters}.tmp\ioSpecial.ini
• %User Temp%\ns{random characters}.tmp\modern-header.bmp
• %User Temp%\ns{random characters}.tmp\modern-wizard.bmp
• %User Temp%\ns{random characters}.tmp\RegPage.ini
• %User Temp%\ns{random characters}.tmp\setuphlp.dll
• %User Temp%\ns{random characters}.tmp\StartPage.bmp
• %User Temp%\ns{random characters}.tmp\InstallOptionsEx.dll
• %User Temp%\SPTDinst-x86.exe

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE19659239224e364682fa4baf72c53ea4

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\19659239224e364682fa4baf72c53ea4
r = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\19659239224e364682fa4baf72c53ea4
s = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\19659239224e364682fa4baf72c53ea4
HP = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\19659239224e364682fa4baf72c53ea4
SP = "2"

アドウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\
Internet Explorer\Main
Start Page = "http://my.{BLOCKED}search.com/startpage"

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://downloads.{BLOCKED}a.com/DAEM071127/setup.cfg
• http://app.{BLOCKED}a.com/AppInstall?app=Setup_CFG&url=DAEM071127&id={hex values}&ui=QC&ver={setup version}&svr={OS version}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください