ADWARE.WIN32.OPENCANDY.GE

2018年12月15日

解析者: Kiyoshi Obuchi

別名:

Downloader.Win32.OpenCandy.db (Kaspersky), AdWare.OpenCandy (VBA32)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 潜在的に迷惑なアプリケーション
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

詳細

ファイルサイズ 69,734,576 bytes

タイプ EXE

発見日 2014年3月1日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

%Application Data%\pdfforge\Images2PDF\is-{Random Characters}.tmp
%Common Programs\PDFCreator\Donate PDFCreator.lnk
%Common Programs\PDFCreator\History.lnk
%Common Programs\PDFCreator\Images2PDF\Images2PDF Console Application.lnk
%Common Programs\PDFCreator\Images2PDF\Images2PDF.lnk
%Common Programs\PDFCreator\Licenses\AFPL License.lnk
%Common Programs\PDFCreator\Licenses\FairPlay License.lnk
%Common Programs\PDFCreator\Licenses\GPL License.lnk
%Common Programs\PDFCreator\PDFCreator Help.lnk
%Common Programs\PDFCreator\PDFCreator on the Web.lnk
%Common Programs\PDFCreator\PDFCreator.lnk
%Common Programs\PDFCreator\Translation Tool.lnk
%Desktop%\PDFCreator.lnk
%Program Files%\PDFCreator\COM\Dot Net\VS2005\C#\Sample1\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Dot Net\VS2005\C#\Sample2\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Dot Net\VS2005\Visual Basic\Sample1\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Dot Net\VS2005\Visual Basic\Sample2\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\DOTNET Scripting Host\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\MS Office\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Perl\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Python\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Ruby\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\VB6\Sample1\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\VB6\Sample2\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\WinBatch\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Windows Scripting Host\JScripts\is-{Random Characters}.tmp
%Program Files%\PDFCreator\COM\Windows Scripting Host\VBScripts\is-{Random Characters}.tmp
%Program Files%\PDFCreator\Donate PDFCreator.url
%Program Files%\PDFCreator\GS9.10\gs9.10\Bin\is-{Random Characters}.tmp
%Program Files%\PDFCreator\GS9.10\gs9.10\Lib\is-{Random Characters}.tmp
%Program Files%\PDFCreator\Images2PDF\is-{Random Characters}.tmp
%Program Files%\PDFCreator\Images2PDF\Languages\is-{Random Characters}.tmp
%Program Files%\PDFCreator\is-{Random Characters}.tmp
%Program Files%\PDFCreator\languages\is-{Random Characters}.tmp
%Program Files%\PDFCreator\PDFCreator.url
%Program Files%\PDFCreator\PlugIns\pdfforge\is-{Random Characters}.tmp
%Program Files%\PDFCreator\Scripts\RunProgramAfterSaving\is-{Random Characters}.tmp
%Program Files%\PDFCreator\Scripts\RunProgramBeforeSaving\is-{Random Characters}.tmp
%Program Files%\PDFCreator\SetupLog.txt
%Program Files%\PDFCreator\unins000.dat
%System%\is-{Random Characters}.tmp
%System%\spool\drivers\w32x86\is-{Random Characters}.tmp
%User Temp%\is-{Random Characters}.tmp
%User Temp%\is-{Random Characters}.tmp\_isetup\_shfoldr.dll
%User Temp%\is-{Random Characters}.tmp\CheckInstalledPDFCreator.exe
%User Temp%\is-{Random Characters}.tmp\CheckInstalledPDFCreator.ini
%User Temp%\is-{Random Characters}.tmp\DownloadUpdateInfo.exe
%User Temp%\is-{Random Characters}.tmp\InstallCheck.exe
%User Temp%\is-{Random Characters}.tmp\installCheck.txt
%User Temp%\is-{Random Characters}.tmp\itdownload.dll
%User Temp%\is-{Random Characters}.tmp\OCSetupHlp.dll
%User Temp%\is-{Random Characters}.tmp\PDF_Architect_Setup_1.1.83.9982.msi
%User Temp%\is-{Random Characters}.tmp\PDFArchitectAd2_english.bmp
%User Temp%\is-{Random Characters}.tmp\PDFArchitectAd3_english.bmp
%User Temp%\is-{Random Characters}.tmp\Program license - english - OC.rtf
%User Temp%\is-{Random Characters}.tmp\update-info.txt

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Printers\DevModePerUser

HKEY_CURRENT_USER\Printers\DevModes2

HKEY_LOCAL_MACHINE\SOFTWARE\PDFCreator.net\
Program

HKEY_CURRENT_USER\Software\PDFCreator.net\
Settings\ApplicationSettings

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.Images2PDF

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge Images2PDF

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge Images2PDF\DefaultIcon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge Images2PDF\shell\open\
command

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
PDFCreatorBeta.PDFCreatorObj

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge.PDFCreator.COM.Printers

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
PDFCreatorBeta.JobQueue

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Print\Monitors\
pdfcmon

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 3\
Installation

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Printers\DevModePerUser
PDFCreator = "{Hex Values}""

HKEY_CURRENT_USER\Printers\DevModes2
PDFCreator = "{Hex Values}"

HKEY_LOCAL_MACHINE\SOFTWARE\PDFCreator.net\
Program
ApplicationPath = "%Program Files%\PDFCreator"

HKEY_CURRENT_USER\Software\PDFCreator.net\
Settings\ApplicationSettings
Language = "English"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.Images2PDF
{default} = "pdfforge Images2PDF"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge Images2PDF
{default} = "Images2PDF"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge Images2PDF\DefaultIcon
{default} = "%Program Files%\PDFCreator\Images2PDF\Images2PDF.EXE,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge Images2PDF\shell\open\
command
{default} = ""%Program Files%\PDFCreator\Images2PDF\Images2PDF.EXE" "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
cmp = "default"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
DOWNLOAD_LINK = "download20.pdfarchitect.org/module/"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
key1 = "default"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
key2 = "{date installed}"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
params = "partner=default&uid={value}&ref=pdfarchitect.org&cmp=default&key1=default&key2={value}&mkey1=default"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
partner = "default"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
ref = "pdfarchitect.org"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 2\
Links
uid = "1006694"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
PDFCreatorBeta.PDFCreatorObj
{default} = "pdfforge.PDFCreator.COM.PdfCreatorObj"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
pdfforge.PDFCreator.COM.Printers
{default} = "pdfforge.PDFCreator.COM.Printers"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
PDFCreatorBeta.JobQueue
{default} = "pdfforge.PDFCreator.COM.Queue"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Print\Monitors\
pdfcmon
PdfCreator = "%Program Files%\PDFCreator\PDFCreator.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Print\Monitors\
pdfcmon
Port = "pdfcmon"

HKEY_LOCAL_MACHINE\SOFTWARE\PDF Architect 3\
Installation
INSTALL_FOLDER = "%Program Files%\PDF Architect 3"

その他

プログラムは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}e.{BLOCKED}ge.org/pdfcreator/update-info.txt
http://{BLOCKED}i.{BLOCKED}ndy.com?bn=3&bv=8.00.7600.16385&clientv=39&cltzone=480&language=en,en&method=get_offers&mstime=0.234&os=WIN6.1SP1&product_key=7d67cf9935f4cbddba0b4f49e75e9618&v=1.0&signature=9d10d8b8f90730c63945366216659055
http://{BLOCKED}i.{BLOCKED}ndy.com?bn=3&bv=8.00.7600.16385&clientv=39&cltzone=480&language=en,en&method=get_offers&mstime=0.327&os=WIN6.1SP1&product_key=972f5c2ecbdee5b727d7df4850543f29&v=1.0&signature=d2dac9ad041499b9301b987c4973e02a
http://{BLOCKED}t.{BLOCKED}ge.org/check.php?product=1&version=1.7.2&ud=0&lang=en&b=2&d=0
http://{BLOCKED}i.{BLOCKED}ndy.com?clientv=39&method=track_product_installed&mstime=176.172&product_key=7d67cf9935f4cbddba0b4f49e75e9618&v=1.0&signature=1fb79cdeedb7671e4cd5a023ee060c1d
http://{BLOCKED}i.{BLOCKED}ndy.com?clientv=39&method=track_product_installed&mstime=176.265&product_key=972f5c2ecbdee5b727d7df4850543f29&v=1.0&signature=bbbf18aeb96f3155b4f3250a327f9ef7

対応方法

対応検索エンジン: 9.850

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「ADWARE.WIN32.OPENCANDY.GE 」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

自身のアンインストールオプションを使用し、「ADWARE.WIN32.OPENCANDY.GE 」を削除します。

[ 詳細 ]

マルウェアのプロセスの削除DATA_GENERIC

[削除]をクリックします。

表示されるダイアログボックスの指示に従ってください。

[プログラムの追加と削除]ウインドウを閉じ、[コントロールパネル]ウインドウも閉じます。

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ADWARE.WIN32.OPENCANDY.GE 」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 DATA_GENERIC

[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。

検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
DATA_GENERIC
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

ご利用はいかがでしたか？　アンケートにご協力ください