• Email
• Facebook
• Twitter
• Google+
• Linkedin

PUA.Win32.OpenCandy.PCD

---

• マルウェアタイプ: 潜在的に迷惑なアプリケーション
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

• %User Temp%\ns{random}.tmp
• %Program Files%\Nitro PDF
• %Common Programs%\PrimoPDF

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。)

プログラムは、以下のファイルを作成します。

• %User Temp%\ns{random}.tmp
• %User Temp%\ns{random}.tmp\LangDLL.dll
• %User Temp%\ns{random}.tmp\OCSetupHlp.dll
• %User Temp%\ns{random}.tmp\System.dll
• %User Temp%\ns{random}.tmp\modern-header.bmp
• %User Temp%\ns{random}.tmp\modern-wizard.bmp
• %User Temp%\ns{random}.tmp\nsDialogs.dll
• %Windows%\primopdf.ini
• %Program Files%\Nitro PDF\PrimoPDF\gsdll32.dll
• %Program Files%\Nitro PDF\PrimoPDF\PrimoRun.exe
• %Program Files%\Nitro PDF\PrimoPDF\PrimInstInfo.txt
• %Program Files%\Nitro PDF\PrimoPDF\Online_UG.url
• %Program Files%\Nitro PDF\PrimoPDF\PrimInst.exe
• %Program Files%\Nitro PDF\PrimoPDF\PrimDel.exe
• %Program Files%\Nitro PDF\PrimoPDF\Configuration\_Default.ini
• %Program Files%\Nitro PDF\PrimoPDF\Configuration\_Ebook.ini
• %Program Files%\Nitro PDF\PrimoPDF\Configuration\_Prepress.ini
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\APLWCSB1.SPD
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\FONTS.MFM
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\ICONLIB.DLL
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PrimoPDF.BPD
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PrimoPDF.PPD
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\ps5ui.dll
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT.DLL
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT.DRV
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT.GID
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT.HLP
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT.INI
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT.NTF
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\pscript5.dll
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRIPT5.HLP
• %Program Files%\Nitro PDF\PrimoPDF\Drivers\PSCRPTUI.DLL
• %Program Files%\Nitro PDF\PrimoPDF\PrimoMon\Primomon95.dll
• %Program Files%\Nitro PDF\PrimoPDF\PrimoMon\Primomon.hlp
• %Program Files%\Nitro PDF\PrimoPDF\PrimoMon\primomonnt.dll
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.exe
• %Program Files%\Nitro PDF\PrimoPDF\PrimoSet.dll
• %Program Files%\Nitro PDF\PrimoPDF\APDB.dll
• %Program Files%\Nitro PDF\PrimoPDF\Primo_Update.exe
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.apdb
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.nl.apdb
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.de.apdb
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.fr.apdb
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.it.apdb
• %Program Files%\Nitro PDF\PrimoPDF\PrimoPDF.es.apdb
• %Program Files%\Nitro PDF\PrimoPDF\nl\PrimoPDF.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\nl\Primo_Update.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\de\PrimoPDF.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\de\Primo_Update.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\fr\PrimoPDF.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\fr\Primo_Update.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\it\PrimoPDF.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\it\Primo_Update.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\es\PrimoPDF.resources.dll
• %Program Files%\Nitro PDF\PrimoPDF\es\Primo_Update.resources.dll
• %System%\spool\drivers\w32x86\pscript5.dll
• %System%\spool\drivers\w32x86\ps5ui.dll
• %System%\spool\drivers\w32x86\pscript5.hlp
• %System%\spool\drivers\w32x86\primopdf.ppd
• %System%\spool\drivers\w32x86\pscript.ntf
• %System%\Primomonnt.dll
• %Program Files%\Nitro PDF\PrimoPDF\uninstaller.exe
• %Common Programs%\PrimoPDF\PrimoPDF Settings.lnk
• %Common Programs%\PrimoPDF\Online User Guide.lnk
• %Common Programs%\PrimoPDF\Uninstall.lnk
• %Desktop%\PrimoPDF - Drop Files Here to Convert!.lnk

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Common Programs%フォルダは、共通プログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

プログラムは、以下のプロセスを追加します。

• %Program Files%\Nitro PDF\PrimoPDF\PrimDel.exe
• %Program Files%\Nitro PDF\PrimoPDF\PrimInst.exe
• %Program Files%\Internet Explorer\iexplore.exe -nohome

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
PrimoPDF

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

その他

プログラムは、以下を実行します。

• It opens the following website through browser:
  • http://www.{BLOCKED}df.com/services/LinkRedirector.aspx?lr_prod=Primo&lr_name=welcome&lr_loc=en-US&lr_src=primo&name=&email=&company=&language={Language ID}
  Redirects to:
  • https://www.{BLOCKED}o.com/

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
その他

プログラムは、以下を実行します。

• ブラウザを介して以下のWebサイトを開きます。
  • http://www.{BLOCKED}df.com/services/LinkRedirector.aspx?lr_prod=Primo&lr_name=welcome&lr_loc=en-US&lr_src=primo&name=&email=&company=&language={言語ID}
    以下のWebサイトにリダイレクトします。
    • https://www.{BLOCKED}o.com/

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください