• Email
• Facebook
• Twitter
• Google+
• Linkedin

Adware.Win32.WENHU.B

---

• マルウェアタイプ: アドウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

アドウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのアドウェアが削除されるのを避けます。

---

  詳細

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のフォルダを追加します。

• %User Temp%\is-{random characters}.tmp
• %Program Files%\High Quality Photo Resizer
• %Program Files%\VVSN

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

アドウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\Microsoft\Internet Explorer\Quick Launch\High Quality Photo Resizer.lnk
• %Common Programs%\High Quality Photo Resizer\High Quality Photo Resizer.lnk
• %Common Programs%\High Quality Photo Resizer\Uninstall High Quality Photo Resizer.lnk
• %Common Programs%\High Quality Photo Resizer\Visit our website.lnk
• %Desktop%\High Quality Photo Resizer.lnk
• %Program Files%\High Quality Photo Resizer\Resizer.exe
• %Program Files%\High Quality Photo Resizer\Resizer.exe.manifest
• %Program Files%\High Quality Photo Resizer\TmpInstall.exe
• %Program Files%\High Quality Photo Resizer\VVSNInst.exe
• %Program Files%\High Quality Photo Resizer\is-{random characters}.tmp
• %Program Files%\High Quality Photo Resizer\unins000.dat
• %Program Files%\High Quality Photo Resizer\unins000.exe
• %Program Files%\High Quality Photo Resizer\website.url
• %Program Files%\VVSN\SET{random hex}.tmp
• %Program Files%\VVSN\URL1\vsn.cfg
• %Program Files%\VVSN\URL2\vsn.cfg
• %Program Files%\VVSN\VVSN.exe
• %Program Files%\VVSN\vvsn.cfg
• %System%\is-{random characters}.tmp
• %System%\xwpdlx20.ocx
• %Temp%\OLD{random hex}.tmp
• %User Temp%\is-{random characters}.tmp\Form1.bmp
• %User Temp%\is-{random characters}.tmp\Form2.bmp
• %User Temp%\is-{random characters}.tmp\WizModernSmallImage.bmp
• %User Temp%\is-{random characters}.tmp\_shfoldr.dll
• %User Temp%\is-{random characters}.tmp\aluria_seal.bmp
• %User Temp%\is-{random characters}.tmp\is-{random characters}.tmp
• %User Temp%\is-{random characters}.tmp\save_header.bmp
• %User Temp%\is-{random characters}.tmp\searchbar_header.bmp
• %User Temp%\{random hex}.WUT\vvsn.cab
• %User Temp%\{random hex}.WUT\whenu.inf
• %User Temp%\~{random characters}.TMP

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のプロセスを追加します。

• %Program Files%\High Quality Photo Resizer\TmpInstall.exe
• %Program Files%\High Quality Photo Resizer\VVSNInst.exe /cfg:NTPC070603 /d"High Quality Photo Resizer" /f"%Program Files%\High Quality Photo Resizer\Resizer.exe"
• %Program Files%\VVSN\VVSN.exe /cfg:NTPC070603 /d"High Quality Photo Resizer" /f"%Program Files%\High Quality Photo Resizer\Resizer.exe"
• %Program Files%\High Quality Photo Resizer\Resizer.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

アドウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
VVSN = %Program Files%\VVSN\VVSN.exe

ダウンロード活動

アドウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://spweb.{BLOCKED}u.com/vvsn/NTPC070603/vsn.cfg

アドウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://app.{BLOCKED}u.com/AppInstall?app=VVSN&url=NTPC070603&id={Generated ID}&ui=JH
• http://app.{BLOCKED}u.com/AppInstall?app=VVSN&url=NTPC070603&id={Generated ID}&ui=IT

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

アドウェアは、以下のレジストリ値を追加し、「コントロールパネル」の「プログラムの追加と削除」に「アンインストール」オプションを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
Inno Setup: Setup Version = 4.2.6

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
Inno Setup: App Path = %Program Files%\High Quality Photo Resizer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
InstallLocation = %Program Files%\High Quality Photo Resizer\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
Inno Setup: Icon Group = High Quality Photo Resizer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
Inno Setup: User = {username}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
Inno Setup: Selected Tasks = desktopicon,quicklaunchicon

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
DisplayName = High Quality Photo Resizer 2.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
UninstallString = "%Program Files%\High Quality Photo Resizer\unins000.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
QuietUninstallString = "%Program Files%\High Quality Photo Resizer\unins000.exe" /SILENT

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1
Publisher = Naturpic Software

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.key

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{44DE2FE5-C775-11D4-AAD4-DA7E8D958A70}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44DE2FE0-C775-11D4-AAD4-DA7E8D958A70}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{44DE2FE1-C775-11D4-AAD4-DA7E8D958A70}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
xwpdlx20.wpdlx

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
High Quality Photo Resizer_is1

アドウェアは、以下を実行します。

• Installs main application while requiring the download of applications displayed as advertisements.

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください