Trend Micro Security

PUA_ASKTOOLBAR.GF

2018年3月20日
 解析者: Byron Jon Gelera   
 別名:

a variant of Win32/Bundled.Toolbar.Ask (ESET-NOD32)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: 潜在的に迷惑なアプリケーション
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

  詳細

ファイルサイズ 18,741,360 bytes
タイプ EXE
メモリ常駐 なし
発見日 2018年3月19日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

  • %Program Files%\FileViewPro
  • %ProgramData%\Microsoft\Windows\Start Menu\Programs\FileViewPro

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

プログラムは、以下のファイルを作成します。

  • %ProgramData%\Microsoft\Windows\Start Menu\Programs\FileViewPro\FileViewPro.lnk
  • %ProgramData%\Microsoft\Windows\Start Menu\Programs\FileViewPro\Uninstall FileViewPro.lnk
  • %System Root%\Users\Public\Desktop\FileViewPro.lnk
  • %User Temp%\ah_setup.log
  • %User Temp%\ah_install.log
  • %User Temp%\ah_setupwatcher1.log
  • %User Temp%\ah_installui.log
  • %User Temp%\ah_download.log
  • %Program Files%\FileViewPro\unins000.exe
  • %Program Files%\FileViewPro\FileViewPro.exe
  • %Program Files%\FileViewPro\FileViewPro.pdb
  • %Program Files%\FileViewPro\PluginInstaller.exe
  • %Program Files%\FileViewPro\Interop.WIA.dll
  • %Program Files%\FileViewPro\Microsoft.Ink.dll
  • %Program Files%\FileViewPro\FileViewPro.Strings.3.resources
  • %Program Files%\FileViewPro\Word.Resources.dll
  • %Program Files%\FileViewPro\Code\Extended\Patch-Mode.xshd
  • %Program Files%\FileViewPro\Code\Extended\Python-Mode.xshd
  • %Program Files%\FileViewPro\Code\Extended\SQL-Mode.xshd
  • %Program Files%\FileViewPro\FileViewPro.Localization.dll
  • %Program Files%\FileViewPro\FileViewPro.exe.config
  • %Program Files%\FileViewPro\FileViewPro.Views.dll.config
  • %Program Files%\FileViewPro\EULA_FileViewPro.rtf
  • %Program Files%\FileViewPro\new_icon.ico
  • %Program Files%\FileViewPro\EULA_FileViewPro.rtf
  • %Program Files%\FileViewPro\Langs\ar.xml
  • %Program Files%\FileViewPro\Langs\cs.xml
  • %Program Files%\FileViewPro\Langs\da.xml
  • %Program Files%\FileViewPro\Langs\de.xml
  • %Program Files%\FileViewPro\Langs\el.xml
  • %Program Files%\FileViewPro\Langs\en.xml
  • %Program Files%\FileViewPro\Langs\es.xml
  • %Program Files%\FileViewPro\Langs\fi.xml
  • %Program Files%\FileViewPro\Langs\fr.xml
  • %Program Files%\FileViewPro\Langs\hi.xml
  • %Program Files%\FileViewPro\Langs\hu.xml
  • %Program Files%\FileViewPro\Langs\it.xml
  • %Program Files%\FileViewPro\Langs\ja.xml
  • %Program Files%\FileViewPro\Langs\ko.xml
  • %Program Files%\FileViewPro\Langs\nl.xml
  • %Program Files%\FileViewPro\Langs\no.xml
  • %Program Files%\FileViewPro\Langs\pl.xml
  • %Program Files%\FileViewPro\Langs\pt-br.xml
  • %Program Files%\FileViewPro\Langs\pt-pt.xml
  • %Program Files%\FileViewPro\Langs\ro.xml
  • %Program Files%\FileViewPro\Langs\ru.xml
  • %Program Files%\FileViewPro\Langs\sv.xml
  • %Program Files%\FileViewPro\Langs\tr.xml
  • %Program Files%\FileViewPro\Langs\zh-cn.xml
  • %Program Files%\FileViewPro\Langs\zh-tw.xml
  • %Program Files%\FileViewPro\Cursors\PanToolCursor.cur
  • %Program Files%\FileViewPro\O2S.Components.PDFRender4NET.dll
  • %Program Files%\FileViewPro\O2S.Components.PDFView4NET.dll
  • %Program Files%\FileViewPro\SevenZipSharp.dll
  • %Program Files%\FileViewPro\7z\7z.dll
  • %Program Files%\FileViewPro\DevExpress.Data.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.Utils.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.XtraEditors.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.XtraBars.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.Printing.v11.1.Core.dll
  • %Program Files%\FileViewPro\DevExpress.XtraGrid.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.XtraPrinting.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.XtraRichEdit.v11.1.dll
  • %Program Files%\FileViewPro\DevExpress.RichEdit.v11.1.Core.dll
  • %Program Files%\FileViewPro\DevExpress.XtraRichEdit.v11.1.Extensions.dll
  • %Program Files%\FileViewPro\Raw\dcraw.exe
  • %Program Files%\FileViewPro\Redist\DotNetFx35ClientSetup.exe
  • %Program Files%\FileViewPro\Wps\wps2html.exe
  • %Program Files%\FileViewPro\QlmLicenseLib.dll
  • %Program Files%\FileViewPro\QlmControls.dll
  • %Program Files%\FileViewPro\IsLicense50.dll
  • %Program Files%\FileViewPro\Plugins.xml
  • %User Temp%\AskSLib.dll
  • %User Temp%\AskSLib.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Ask.com.tmp

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
apn_dbr = ie_8.0.7601.17514

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
cbid = ^ADI

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
client = ic

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
clientv = 9.9.9.9

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
cr = 1

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
cr-homepageurl = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
cr-o = APN10610cr

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
crif = 1

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
crumb = 2018.03.19+05.44.46-dubprdapntlfe17-PH-TWFuaWxhLFBoaWxpcHBpbmVz

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
crx-path = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
dbr = 132

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
dot = 6

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
dt = 400

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
dtid = ^YYYYYY^YY^PH

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
ff-max-version = 13.*

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
fflu = -2

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
fv = 3.5.7 (en-US)

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
guid = ec2bebe8-704f-4d0c-a8ac-f0d47c36e485

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
harch = 32

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
hloc = en-US

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
homepageurl = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
hos = 6.1.1.sp1.x86

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
iedis = 0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
ielu = -2

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
iev = 8.0.7601.17514

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
inst = 200

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
iv = 8.0.7601.17514

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
l = dis

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
locale = en_US

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
location = {address}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
make-offer = 1

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
nthp = 0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
o = APN10610

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
oi = nop

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
qsrc = 2871

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
repurl = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
saguid = 5ed2532b-745a-402a-83f9-ecb5901b53ec

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
same-partner = 0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
slwo = 0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
tb = SLS

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
tb-installer-path = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
tb-version = 5.15.29.0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
to = ""

HKEY_CURRENT_USER\Software\Ask.com.tmp\
General
wft = remote

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
cr-homepageurl = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
crif = 1

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
ff-max-version = 13.*

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
guid = ec2bebe8-704f-4d0c-a8ac-f0d47c36e485

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
homepageurl = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
make-offer = 1

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
nthp = 0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
oi = nop

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Installer
repurl = {URL}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
cbid = ^ADI

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
cr-o = APN10610cr

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
crumb = 2018.03.19+05.44.46-dubprdapntlfe17-PH-TWFuaWxhLFBoaWxpcHBpbmVz

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
dtid = ^YYYYYY^YY^PH

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
l = dis

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
locale = en_US

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
location = {address}

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
o = APN10610

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
qsrc = 2871

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
slwo = 0

HKEY_CURRENT_USER\Software\Ask.com.tmp\
Macro
to = ""

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
StartPage\NewShortcuts
%ProgramData%\Microsoft\Windows\Start Menu\Programs\FileViewPro\FileViewPro.lnk = 1

その他

プログラムは、以下の不正なWebサイトにアクセスします。

  • http://apnmedia.{BLOCKED}k.com/media/toolbar/stub/1.0.0.0/ApnIC.dll?tb={value}&version={value}
  • http://websearch.{BLOCKED}k.com/installed?client={value}&tb={value}&dtid={value}&id={value}&ipid={value}&iev={value}&iedis={value}&ielu={value}&fflu={value}&iv={value}&nv={value}&clientv={value}&said={value}&browser-lang={value}&apn_dbr={value}&cr={value}
  • http://img.{BLOCKED}lytics.com/images/nocache/apn/tr.gif?ev={value}&p2={value}&encb={value}&chk={value}&ts={value}&guid={value}&dt={value}&wft={value}&inst={value}&tb={value}&hos={value}&harch={value}&hloc={value}&iv={value}&fv={value}&dbr={value}&vb={value}&msi={value}&dot={value}
  • http://apnmedia.{BLOCKED}k.com/media/toolbar/supertoolbar/profile-ask/wrapper/2.3.0/EverestWrapper.exe
  • http://phn.{BLOCKED}lytics.com/tr.gif?anxa={value}&anxv={value}&anxe={value}&anxr={value}&reason={value}&tpid={value}&trgb={value}&result={value}&ft={value}&udbr={value}
  • http://anx.{BLOCKED}lytics.com/tr.gif?anxa={value}&anxe={value}&tpid={value}&defaultSearchChoice={value}&homepageChoice={value}&status={value}&newpid={value}
  • http://{BLOCKED}i.search.{BLOCKED}k.com/v7/installed?pid={value}&dtid={value}&cbid={value}&pf={value}&pids={value}&dbr={value}&user_lid={value}&client={value}
  • http://apnmedia.{BLOCKED}k.com/media/toolbar/everest/partners/SLS-RG/YY/Setup.ini
  • http://phn.{BLOCKED}lytics.com/tr.gif?anxa={value}&anxv={value}&anxe={value}&anxr={value}&ieVersionInstalled={value}&defaultSearchChoice={value}&ffVersionInstalled={value}&osArchitecture={value}&installApiAttempts={value}&osDetail={value}&msiErrorCode={value}&errorCondition={value}&tpid={value}&installApiTime={value}&crVersionInstalled={value}&msiVersion={value}&msiExitCode={value}&installationResult={value}&setupTime={value}&homepageChoice={value}

  対応方法

対応検索エンジン: 9.850
SSAPI パターンバージョン: 1.931.00
SSAPI パターンリリース日: 2018年3月22日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software
    • Ask.com.tmp

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage\NewShortcuts
    • %ProgramData%\Microsoft\Windows\Start Menu\Programs\FileViewPro\FileViewPro.lnk = "1"

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %Program Files%\FileViewPro
  • %ProgramData%\Microsoft\Windows\Start Menu\Programs\FileViewPro

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\Users\Public\Desktop\FileViewPro.lnk
  • %User Temp%\ah_setup.log
  • %User Temp%\ah_install.log
  • %User Temp%\ah_setupwatcher1.log
  • %User Temp%\ah_installui.log
  • %User Temp%\ah_download.log
  • %User Temp%\AskSLib.dll
  • %User Temp%\AskSLib.exe

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PUA_ASKTOOLBAR.GF」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください