Trend Micro Security

PUA.Win32.OneStep.A

2020年1月7日
 別名:

BrowserModifier:Win32/OneStepSearch [non_writable_container], BrowserModifier:Win32/OneStepSearch [n (Microsoft); AdWare.Win32.OneStep.c (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt)

 プラットフォーム:

Windows

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: 潜在的に迷惑なアプリケーション
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 932,131 bytes
タイプ EXE
メモリ常駐 はい
発見日 2019年12月29日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

  • "%Program Files%\FILESU~1\OSWDVA~1.EXE" /s
  • %Program Files%\filesubmit\oswdvaz118.exe /s
  • "%Program Files%\FILESU~1\DEALIO~1.EXE" /S /V"/qn CHANNEL_ID=980496" /UM"http://www.{BLOCKED}o.com/vkits/dlv1/980496/Dealio Toolbar.msi"
  • %Program Files%\filesubmit\DealioKit1-stub-0.exe /S /V"/qn CHANNEL_ID=980496" /UM"http://www.{BLOCKED}o.com/vkits/dlv1/980496/Dealio Toolbar.msi"
  • "%System%\RKINST~1.EXE" -%System Root%170 /s
  • %System%\rkinstaller.exe -%System Root%170 /s
  • "%Program Files%\FILESU~1\VVSNInst.exe" /cfg:EZTH120601 /s
  • %Program Files%\filesubmit\VVSNInst.exe /cfg:EZTH120601 /s
  • http://home.{BLOCKED}es.com/home/
  • %Program Files%\filesubmit\irfairy1024wp.zip\irfairy1024wp.zip
  • %User Temp%\OSW2432.tmp\OSWDVA~1.EXE -p oswdvaz118 /S /s
  • %User Temp%\OSW2490.tmp\OSWDVA~1.EXE -p ONESTEP118 -p oswdvaz118 /S /s
  • "%User Temp%\nse255D.tmp\onestep.exe" "%User Temp%\nse255D.tmp\onestep.dll" Install "0 oswdvaz118"
  • "%Program Files%\OneStepSearch\onestep.exe" "%Program Files%\OneStepSearch\onestep.dll" Service
  • %System%\msiexec.exe /V
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
  • %System%\svchost.exe -k LocalServiceAndNoImpersonation
  • %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
  • %System%\sppsvc.exe
  • "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
  • %System%\svchost.exe -k WerSvcGroup
  • %System%\svchost.exe -k netsvcs
  • "%Program Files%\OneStepSearch\onestep.exe" "%Program Files%\OneStepSearch\onestep.dll" Main
  • MSIEXEC.EXE /i "%User Temp%\_is3D9B\Dealio Toolbar.msi" /qn CHANNEL_ID=980496 SETUPEXEDIR="%Program Files%\FILESU~1"
  • %Program Files%\VVSN\VVSN.exe /cfg:EZTH120601 /s
  • "%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:3540 CREDAT:275457 /prefetch:2

プログラムは、以下のフォルダを作成します。

  • %User Temp%\4D8.WUT
  • %Application Data%\Microsoft\Windows\IECompatUACache
  • %User Temp%\_is3D9B
  • %Application Data%\Microsoft\Windows\DNTException
  • %Program Files%\OneStepSearch
  • %Start Menu%\Programs\filesubmit
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit
  • %System Root%\Users
  • %Program Files%\VVSN\URL1
  • %Program Files%\filesubmit\irfairy1024wp.zip
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
  • %Application Data%\Microsoft\Windows\PrivacIE
  • %Program Files%\filesubmit
  • %Application Data%\Microsoft\Windows\IECompatCache
  • %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
  • %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
  • %Program Files%\VVSN
  • %User Profile%\AppData

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

自動実行方法

プログラムは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OneStep Search Service
ImagePath = "{random characters}"

プログラムは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
Del41 = "cmd /c del %Windows%\SysWOW64\RKINST~1.EXE"

他のシステム変更

プログラムは、以下のファイルを改変します。

  • %Program Files%\VVSN\SET1570.tmp

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プログラムは、以下のファイルを削除します。

  • %Program Files%\filesubmit\irfairy1024wp.zip\UNWISE.EXE
  • %Program Files%\filesubmit\oswdvaz118.exe
  • %User Temp%\VVSN.exe
  • %AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico
  • %Program Files%\VVSN\vsn.cab
  • %Program Files%\filesubmit\H\xef\xbe\x84zt\xef\xbe\x9d\xef\xbe\x86.\xef\xbf\x8b\xef\xbf\xb6\xef\xbf\xbf\xef\xbe\xa9tN&@
  • %Program Files%\VVSN\vsn.cfg
  • %User Temp%\nse255D.tmp
  • %Program Files%\filesubmit\VVSNInst.exe
  • %Program Files%\filesubmit\irfairy1024wp.zip\fsi_uninstall.ico
  • %Program Files%\filesubmit\DealioKit1-stub-0.exe
  • %System%\rkinstaller.exe
  • %Program Files%\filesubmit\irfairy1024wp.zip\irfairy1024wp.zip
  • %User Temp%\nsu251E.tmp
  • %Program Files%\filesubmit\irfairy1024wp.zip\fsi_install.ico

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

プログラムは、以下のフォルダを削除します。

  • %User Temp%\nsu251E.tmp
  • %User Temp%\nse255D.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
irfairy1024wp.zip

HKEY_LOCAL_MACHINE\Software\OneStepSearch

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
OneStepSearch

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\SearchScopes\
{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}

HKEY_LOCAL_MACHINE\SYSTEM\Setup\
SetupapiLogStatus

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\irfairy1024wp.zip
DisplayName = "irfairy1024wp.zip"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\irfairy1024wp.zip
UninstallString = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
TempInstallDir = "%Program Files%\OneStepSearch"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\OneStepSearch
DisplayName = "OneStep Search 1.0 build 118"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\OneStepSearch
UninstallString = "%Program Files%\OneStepSearch\uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Primary = "59100"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
DllPath = "%Program Files%\OneStepSearch\onestep.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Version = "65554"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Partner = "oswdvaz118"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Src = "onestep"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
Initial = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
ShowToolbarButton = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
ShowBarSign = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\SearchScopes\
{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
DisplayName = "OneStep Search"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Internet Explorer\SearchScopes\
{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
URL = "http://www.{BLOCKED}psearch.net/?prt=oswdvaz118&keywords={searchTerms}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
UpdateTimeH = "30759878"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch
UpdateTimeL = "1842411000"

HKEY_LOCAL_MACHINE\SYSTEM\Setup\
SetupapiLogStatus
setupapi.app.log = "4096"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
VVSN = "%Program Files%\VVSN\VVSN.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\NetworkList\
Nla\Cache\Intranet
{89BCDCB3-5725-45A2-94AB-2D6B641209B0} = "\x00PV\xbc\x0f"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
cval = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OneStep Search Service
DisplayName = "OneStep Search Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\OneStep Search Service
Start = "SERVICE_AUTO_START"

プログラムは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch\TempInstallDir

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch\FXInstalled

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
OneStepSearch\Upgrade

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run\ISSetup

作成活動

プログラムは、以下のファイルを作成します。

  • %User Temp%\4D8.WUT\vvsn.cab
  • %Program Files%\filesubmit\~GLH0008.TMP
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit\Uninstall irfairy1024wp.zip.lnk
  • %Program Files%\OneStepSearch\osopt.exe
  • %Program Files%\filesubmit\irfairy1024wp.zip\UNWISE.INI
  • %Program Files%\OneStepSearch\onestep.dll
  • %User Temp%\_is3D9B\0x0409.ini
  • %User Temp%\_MSI5166._IS
  • %User Temp%\_is3D9B\Dealio Toolbar.msi
  • %Program Files%\filesubmit\~GLH0006.TMP
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit\Install irfairy1024wp.zip.lnk
  • %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
  • %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec
  • %Program Files%\OneStepSearch\home.js
  • %User Temp%\4D8.WUT\whenu.inf
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH0009.TMP
  • %System%\~GLH0007.TMP
  • %Program Files%\VVSN\SET1570.tmp
  • %Windows%\Temp\temp.xpi
  • %Program Files%\VVSN\vvsn.cfg
  • %Program Files%\VVSN\URL1\vsn.cfg
  • %Program Files%\OneStepSearch\readme.html
  • %Program Files%\OneStepSearch\onestep.exe
  • %Program Files%\VVSN\SET1580.tmp
  • %Program Files%\filesubmit\~GLH0004.TMP
  • %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
  • %Windows%\inf\setupapi.app.log
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH000b.TMP
  • %User Temp%\_is3D9B\_ISMSIDEL.INI
  • %System%\GLBSINST.%$D
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH0005.TMP
  • %User Temp%\_is3D9B\Setup.INI
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{56A5732C-C5FC-11E9-8935-005056BC5B9B}.dat
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{4B061274-C5FC-11E9-8935-005056BC5B9B}.dat
  • %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{4B061276-C5FC-11E9-8935-005056BC5B9B}.dat
  • %Program Files%\OneStepSearch\uninstall.exe
  • %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH000a.TMP

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

プログラムは、以下の不正なWebサイトにアクセスします。

  • http://www.{BLOCKED}o.com/vkits/dlv1/980496/Dealio%20Toolbar.msi
  • http://www.{BLOCKED}ntknowledge.com/campaignstatus.aspx?campaign_id=170
  • http://www.{BLOCKED}ntknowledge.com/ErrorPage.aspx?{random characters}
  • http://upgrade.{BLOCKED}psearch.net/?{random characters}
  • http://home.{BLOCKED}es.com/home
  • http://app.{BLOCKED}u.com
  • http://spweb.{BLOCKED}u.com
  • http://go.{BLOCKED}oft.com
  • http://www.{BLOCKED}es.com
  • http://api.{BLOCKED}g.com
  • http://www.{BLOCKED}g.com
  • http://sqm.{BLOCKED}try.microsoft.com
  • http://ieonline.{BLOCKED}oft.com

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.850

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

「PUA.Win32.OneStep.A」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
    • irfairy1024wp.zip
  • In HKEY_LOCAL_MACHINE\Software
    • OneStepSearch
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
    • OneStepSearch
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes
    • {5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
  • In HKEY_LOCAL_MACHINE\SYSTEM\Setup
    • SetupapiLogStatus

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
    • Del41 = "cmd /c del %Windows%\SysWOW64\RKINST~1.EXE"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\irfairy1024wp.zip
    • DisplayName = "irfairy1024wp.zip"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\irfairy1024wp.zip
    • UninstallString = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • TempInstallDir = "%Program Files%\OneStepSearch"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\OneStepSearch
    • DisplayName = "OneStep Search 1.0 build 118"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\OneStepSearch
    • UninstallString = "%Program Files%\OneStepSearch\uninstall.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • Primary = "59100"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • DllPath = "%Program Files%\OneStepSearch\onestep.dll"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • Version = "65554"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • Partner = "oswdvaz118"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • Src = "onestep"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • Initial = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • ShowToolbarButton = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • ShowBarSign = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
    • DisplayName = "OneStep Search"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{5B4C3B43-49B6-42A7-A602-F7ACDCA0D409}
    • URL = "http://www.{BLOCKED}psearch.net/?prt=oswdvaz118&keywords={searchTerms}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • UpdateTimeH = "30759878"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • UpdateTimeL = "1842411000"
  • In HKEY_LOCAL_MACHINE\SYSTEM\Setup\SetupapiLogStatus
    • setupapi.app.log = "4096"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
    • VVSN = "%Program Files%\VVSN\VVSN.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Nla\Cache\Intranet
    • {89BCDCB3-5725-45A2-94AB-2D6B641209B0} = "\x00PV\xbc\x0f"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • cval = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\OneStep Search Service
    • DisplayName = "OneStep Search Service"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\OneStep Search Service
    • Start = "SERVICE_AUTO_START"

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\4D8.WUT\vvsn.cab
  • %Program Files%\filesubmit\~GLH0008.TMP
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit\Uninstall irfairy1024wp.zip.lnk
  • %Program Files%\OneStepSearch\osopt.exe
  • %Program Files%\filesubmit\irfairy1024wp.zip\UNWISE.INI
  • %Program Files%\OneStepSearch\onestep.dll
  • %User Temp%\_is3D9B\0x0409.ini
  • %User Temp%\_MSI5166._IS
  • %User Temp%\_is3D9B\Dealio Toolbar.msi
  • %Program Files%\filesubmit\~GLH0006.TMP
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit\Install irfairy1024wp.zip.lnk
  • %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
  • %All Users Profile%\Microsoft\Windows\DRM\v3ks.sec
  • %Program Files%\OneStepSearch\home.js
  • %User Temp%\4D8.WUT\whenu.inf
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH0009.TMP
  • %System%\~GLH0007.TMP
  • %Program Files%\VVSN\SET1570.tmp
  • %Windows%\Temp\temp.xpi
  • %Program Files%\VVSN\vvsn.cfg
  • %Program Files%\VVSN\URL1\vsn.cfg
  • %Program Files%\OneStepSearch\readme.html
  • %Program Files%\OneStepSearch\onestep.exe
  • %Program Files%\VVSN\SET1580.tmp
  • %Program Files%\filesubmit\~GLH0004.TMP
  • %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
  • %Windows%\inf\setupapi.app.log
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH000b.TMP
  • %User Temp%\_is3D9B\_ISMSIDEL.INI
  • %System%\GLBSINST.%$D
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH0005.TMP
  • %User Temp%\_is3D9B\Setup.INI
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{56A5732C-C5FC-11E9-8935-005056BC5B9B}.dat
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{4B061274-C5FC-11E9-8935-005056BC5B9B}.dat
  • %All Users Profile%\Microsoft\Windows\DRM\drmstore.hds
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{4B061276-C5FC-11E9-8935-005056BC5B9B}.dat
  • %Program Files%\OneStepSearch\uninstall.exe
  • %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
  • %Program Files%\filesubmit\irfairy1024wp.zip\~GLH000a.TMP

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\4D8.WUT
  • %Application Data%\Microsoft\Windows\IECompatUACache
  • %User Temp%\_is3D9B
  • %Application Data%\Microsoft\Windows\DNTException
  • %Program Files%\OneStepSearch
  • %Start Menu%\Programs\filesubmit
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\filesubmit
  • %System Root%\Users
  • %Program Files%\VVSN\URL1
  • %Program Files%\filesubmit\irfairy1024wp.zip
  • %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
  • %Application Data%\Microsoft\Windows\PrivacIE
  • %Program Files%\filesubmit
  • %Application Data%\Microsoft\Windows\IECompatCache
  • %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
  • %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
  • %Program Files%\VVSN
  • %User Profile%\AppData

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PUA.Win32.OneStep.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下のファイルをバックアップを用いて修復します。マイクロソフト製品に関連したファイルのみに修復されます。このマルウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %Program Files%\VVSN\SET1570.tmp

手順 10

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %Program Files%\filesubmit\irfairy1024wp.zip\UNWISE.EXE
  • %Program Files%\filesubmit\oswdvaz118.exe
  • %User Temp%\VVSN.exe
  • %AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico
  • %Program Files%\VVSN\vsn.cab
  • %Program Files%\filesubmit\H\xef\xbe\x84zt\xef\xbe\x9d\xef\xbe\x86.\xef\xbf\x8b\xef\xbf\xb6\xef\xbf\xbf\xef\xbe\xa9tN&@
  • %Program Files%\VVSN\vsn.cfg
  • %User Temp%\nse255D.tmp
  • %Program Files%\filesubmit\VVSNInst.exe
  • %Program Files%\filesubmit\irfairy1024wp.zip\fsi_uninstall.ico
  • %Program Files%\filesubmit\DealioKit1-stub-0.exe
  • %System%\rkinstaller.exe
  • %Program Files%\filesubmit\irfairy1024wp.zip\irfairy1024wp.zip
  • %User Temp%\nsu251E.tmp
  • %Program Files%\filesubmit\irfairy1024wp.zip\fsi_install.ico

手順 11

以下の削除されたレジストリキーまたはレジストリ値をバックアップを用いて修復します。

※註：マイクロソフト製品に関連したレジストリキーおよびレジストリ値のみが修復されます。このマルウェアもしくはアドウェア等が同社製品以外のプログラムも削除した場合には、該当プログラムを再度インストールする必要があります。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • TempInstallDir
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • FXInstalled
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\OneStepSearch
    • Upgrade
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
    • ISSetup


ご利用はいかがでしたか？　アンケートにご協力ください