• Email
• Facebook
• Twitter
• Google+
• Linkedin

Adware.Win32.Unlocker.A

---

• マルウェアタイプ: アドウェア
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のプロセスを追加します。

• %Program Files%\Unlocker\UnlockerAssistant.exe
• "%User Temp%\FileUnlocker_Installer.exe" /silent

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のフォルダを作成します。

• %Program Files%\Unlocker
• %Start Menu%\Programs\Unlocker

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnlockerDriver5
ImagePath = "\??\%Program Files%\Unlocker\UnlockerDriver5.sys"

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
UnlockerAssistant = "%Program Files%\Unlocker\UnlockerAssistant.exe"

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\UnlockerDriver5

他のシステム変更

アドウェアは、以下のフォルダを削除します。

• %User Temp%\nsp8D96.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker

HKEY_CLASSES_ROOT\CLSID\{GUID}

HKEY_CLASSES_ROOT\CLSID\{GUID}\
InProcServer32

HKEY_LOCAL_MACHINE\software\classes\
clsid\UnlockerShellExtension

HKEY_CLASSES_ROOT\AllFileSystemObjects\shellex\
ContextMenuHandlers\UnlockerShellExtension

HKEY_CLASSES_ROOT\folder\shellex\
ContextMenuHandlers\UnlockerShellExtension

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\App Paths\
Unlocker.exe

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
Language = "1033"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnlockerDriver5
Type = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
OnlineVersion = "1.9.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{GUID}
(Default) = "UnlockerShellExtension"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{GUID}\InProcServer32
(Default) = "%Program Files%\Unlocker\UnlockerCOM.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{GUID}\InProcServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\UnlockerShellExtension
(Default) = "{GUID}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AllFilesystemObjects\shellex\ContextMenuHandlers\
UnlockerShellExtension
(Default) = "{GUID}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Folder\ShellEx\ContextMenuHandlers\
UnlockerShellExtension
(Default) = "{GUID}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Shell Extensions\
Approved
{GUID} = "UnlockerShellExtension"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Unlocker.exe
(Default) = "%Program Files%\Unlocker\Unlocker.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayName = "Unlocker 1.9.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
UninstallString = "%Program Files%\Unlocker\uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayIcon = "%Program Files%\Unlocker\Unlocker.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayVersion = "1.9.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
URLInfoAbout = "http://unlocker.{BLOCKED}oop.com"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
Publisher = "Cedrick Collomb"

アドウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker\OnlineVersion

作成活動

アドウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Internet Explorer\Quick Launch\QuickStores.lnk
• %Start Menu%\Programs\Unlocker\Start Unlocker.lnk
• %Program Files%\Unlocker\UnlockerCOM.dll
• %Program Files%\Unlocker\README.TXT
• %Program Files%\Unlocker\Unlocker.exe
• %Start Menu%\Programs\Unlocker\Start Unlocker Assistant.lnk
• %Program Files%\Unlocker\UnlockerAssistant.exe
• %Start Menu%\Programs\Unlocker\Website.lnk
• %Program Files%\Unlocker\UnlockerDriver5.sys
• %User Temp%\Quickstores.ico
• %Program Files%\Unlocker\uninst.exe
• %User Temp%\FileUnlocker_Installer.exe
• %Start Menu%\QuickStores.lnk
• %Program Files%\Unlocker\UnlockerHook.dll
• %Program Files%\Unlocker\Unlocker.url
• %Start Menu%\Programs\Unlocker\README.lnk
• %Start Menu%\Programs\Unlocker\Uninstall.lnk
• %Desktop%\QuickStores.lnk

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}a.com/clients/config/configservice.asmx
• http://www.{BLOCKED}ic.com

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください