![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
Adware.Win32.MyWebSearch.GA
Win32/Toolbar.MyWebSearch.BA (NOD32)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: アドウェア
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。
詳細
侵入方法
アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。
インストール
アドウェアは、以下のフォルダを追加します。
- %User Temp%\nsa{random}.tmp
- %AppDataLocal%\SearchFormsOnlineTooltab
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\<ユーザ名>\AppData\Local" です。)
アドウェアは、以下のファイルを作成します。
- %AppDataLocal%\SearchFormsOnlineTooltab\TooltabExtension.dll
- %User Temp%\nsa{random}.tmp\cancel_blue_1475521919365_1487177690297.bmp
- %User Temp%\nsa{random}.tmp\Install_ENG_1436200260055.bmp
- %User Temp%\nsa{random}.tmp\installerParams
- %User Temp%\nsa{random}.tmp\nsDialogs.dll
- %User Temp%\nsa{random}.tmp\reporting
- %User Temp%\nsa{random}.tmp\secondary_accept.png
- %User Temp%\nsa{random}.tmp\secondary_bg.png
- %User Temp%\nsa{random}.tmp\secondary_decline.png
- %User Temp%\nsa{random}.tmp\SFO_msi_bg-copy_1501864054589.bmp
- %User Temp%\nsa{random}.tmp\SFO_msi_bg-copy_1501864070404.bmp
- %User Temp%\nsa{random}.tmp\System.dll
- %User Temp%\nsl{random}.tmp
(註:%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\<ユーザ名>\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
他のシステム変更
アドウェアは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\Software\SearchFormsOnline
アドウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = http://hp.{BLOCKED}y.com/searchformsonline/ttab02/index.html?n=C08C4E8&p2=^CPV^mni000^TTAB02&ptb=F3BC073A-F596-4B07-8E29-91AFF9A64022&coid=09a458dea1854714b4b9926a47429d8b
HKEY_CURRENT_USER\Software\SearchFormsOnline
Start Page = http://hp.{BLOCKED}y.com/searchformsonline/ttab02/index.html?n=C08C4E8&p2=^CPV^mni000^TTAB02&ptb=F3BC073A-F596-4B07-8E29-91AFF9A64022&coid=09a458dea1854714b4b9926a47429d8b
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchFormsOnlineTooltab Uninstall Internet Explorer
DisplayName = SearchFormsOnline Internet Explorer Homepage and New Tab
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchFormsOnlineTooltab Uninstall Internet Explorer
UninstallString = Rundll32.exe "C:\Users\{BLOCKED}r\AppData\Local\SearchFormsOnlineTooltab\TooltabExtension.dll" U uninstall:SearchFormsOnline
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchFormsOnlineTooltab Uninstall Internet Explorer
Publisher = Mindspark Interactive Network, Inc.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchFormsOnlineTooltab Uninstall Internet Explorer
HelpLink = http://support.{BLOCKED}ark.com/
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
SearchFormsOnlineTooltab Uninstall Internet Explorer
URLInfoAbout = http://support.{BLOCKED}ark.com/
HKEY_CURRENT_USER\Software\SearchFormsOnline
UnInstallSurveyUrl = http://@{downloadDomain}.dl.{BLOCKED}y.com/uninstall.jhtml?surveyUrl=http%3A%2F%2Fwww.research.net%2Fr%2FHYSCVNM%3Fc%3DF3BC073A-F596-4B07-8E29-91AFF9A64022%26ptb%3D^CPV^mni000^TTAB02
モバイル端末を狙う不正プログラムの不正活動
アドウェアは、以下の不正なWebサイトにアクセスします。
- http://anx.{BLOCKED}ark.com/anx.gif?anxa=CAPDownloadProcess&anxe=Error&errorCode=-16&errorType=nsisError&errorDetails=&platform=vicinio&anxv=2.7.1.3000&anxd=2018-05-18&coid=&refPartner=^CPV^mni000^TTAB02&refSub=&anxl=en-US&anxr=2077829834&refCobrand=CPV&refCampaign=mni000&refTrack=TTAB02&refCountry=
- http://anx.{BLOCKED}ark.com/anx.gif?anxa=CAPDownloadProcess&anxe=Error&errorCode=-8&errorType=nsisError&errorDetails=1%2Eexe&platform=vicinio&anxv=2.7.1.3000&anxd=2018-05-18&coid=65023ab80e06405a94bb47e84bf0cd64&refPartner=^CPV^mni000^TTAB02&refSub=&anxl=en-US&anxr=-2076664098&refCobrand=CPV&refCampaign=mni000&refTrack=TTAB02&refCountry=
- http://anx.{BLOCKED}ark.com/anx.gif?anxa=CAPDownloadProcess&anxe=InstallerInvoked&platform=vicinio&anxv=2.7.1.3000&anxd=2018-05-18&coid=65023ab80e06405a94bb47e84bf0cd64&refPartner=^CPV^mni000^TTAB02&refSub=&anxl=en-US&anxr=2133614130&refCobrand=CPV&refCampaign=mni000&refTrack=TTAB02&refCountry=
- http://anx.{BLOCKED}ark.com/anx.gif?anxa=CAPDownloadProcess&anxe=Error&errorCode=-13&errorType=nsisError&errorDetails=EmptyPartnerId&platform=vicinio&anxv=2.7.1.3000&anxd=2018-05-18&coid=65023ab80e06405a94bb47e84bf0cd64&refPartner=^CPV^mni000^TTAB02&refSub=&anxl=en-US&anxr=2133698250&refCobrand=CPV&refCampaign=mni000&refTrack=TTAB02&refCountry=
- http://hp.{BLOCKED}y.com/searchformsonline/ttab02/index.html?n=C08C4E8&p2=^CPV^mni000^TTAB02&ptb=152B92C7-33B4-4C3E-96B9-4F34662EAC38&coid=65023ab80e06405a94bb47e84bf0cd64