PUA_ASKTOOLBAR.GG

2018年6月22日

解析者: Augusto II Remillano

別名:

N/A

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 潜在的に迷惑なアプリケーション
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

詳細

ファイルサイズ 3,479,328 bytes

タイプ EXE

メモリ常駐はい

発見日 2018年5月7日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

%User Temp%\install_log.log
%User Temp%\ASKSUTBLOG
%Program Files%\Acro Software\CutePDF Writer\README.HTM
%Program Files%\Acro Software\CutePDF Writer\PDFWrite.rsp
%Program Files%\Acro Software\CutePDF Writer\CPWSave.exe
%Program Files%\Acro Software\CutePDF Writer\uninscpw.exe
%System%\spool\drivers\w32x86\CUTEPDFW.PPD
%System%\spool\drivers\w32x86\PSCRIPT5.DLL
%System%\spool\drivers\w32x86\PS5UI.DLL
%System%\spool\drivers\w32x86\PSCRIPT.HLP
%System%\spool\drivers\w32x86\PSCRIPT.NTF
%System%\cpwmon2k.dll
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\CutePDF\PDF Writer\Readme.lnk
%User Temp%\converter.exe
%AppDataLocalLow%\AskToolbar\cache.dat
%Program Files%\GPLGS\bjc610a7.upp
%Program Files%\GPLGS\bjc610a8.upp
%Program Files%\GPLGS\bjc610b1.upp
%Program Files%\GPLGS\bjc610b2.upp
%Program Files%\GPLGS\bjc610b3.upp
%Program Files%\GPLGS\bjc610b4.upp
%Program Files%\GPLGS\bjc610b6.upp
%Program Files%\GPLGS\bjc610b7.upp
%Program Files%\GPLGS\bjc610b8.upp
%Program Files%\GPLGS\caption.ps
%Program Files%\GPLGS\cat.ps
%Program Files%\GPLGS\cbjc600.ppd
%Program Files%\GPLGS\cbjc800.ppd
%Program Files%\GPLGS\cdj550.upp
%Program Files%\GPLGS\cdj690.upp
%Program Files%\GPLGS\cdj690ec.upp
%Program Files%\GPLGS\cid2code.ps
%Program Files%\GPLGS\cidfmap
%Program Files%\GPLGS\decrypt.ps
%Program Files%\GPLGS\dnj750c.upp
%Program Files%\GPLGS\dnj750m.upp
%Program Files%\GPLGS\docie.ps
%Program Files%\GPLGS\dvipdf
%Program Files%\GPLGS\EndOfTask.ps
%Program Files%\GPLGS\eps2eps
%Program Files%\GPLGS\eps2eps.bat
%Program Files%\GPLGS\eps2eps.cmd
%Program Files%\GPLGS\FAPIconfig-FCO
%Program Files%\GPLGS\FCOfontmap-PCLPS3
%Program Files%\GPLGS\FCOfontmap-PS3
%Program Files%\GPLGS\font2c
%Program Files%\GPLGS\font2c.bat
%Program Files%\GPLGS\font2c.cmd
%Program Files%\GPLGS\font2c.ps
%Program Files%\GPLGS\font2pcl.ps
%Program Files%\GPLGS\Fontmap.ATB
%Program Files%\GPLGS\Fontmap.ATM
%Program Files%\GPLGS\Fontmap.OS2
%Program Files%\GPLGS\Fontmap.OSF
%Program Files%\GPLGS\Fontmap.SGI
%Program Files%\GPLGS\Fontmap.Sol
%Program Files%\GPLGS\Fontmap.Ult
%Program Files%\GPLGS\Fontmap.URW-136.T1
%Program Files%\GPLGS\Fontmap.URW-136.TT
%Program Files%\GPLGS\Fontmap.VMS
%Program Files%\GPLGS\ghostpdf.inf
%Program Files%\GPLGS\ghostpdf.ppd
%Program Files%\GPLGS\gs_ce_e.ps
%Program Files%\GPLGS\gs_cmdl.ps
%Program Files%\GPLGS\gs_fform.ps
%Program Files%\GPLGS\gs_il2_e.ps
%Program Files%\GPLGS\gs_kanji.ps
%Program Files%\GPLGS\gs_ksb_e.ps
%Program Files%\GPLGS\gs_l.xbm
%Program Files%\GPLGS\gs_l.xpm
%Program Files%\GPLGS\gs_l_m.xbm
%Program Files%\GPLGS\gs_lgo_e.ps
%Program Files%\GPLGS\gs_lgx_e.ps
%Program Files%\GPLGS\gs_m.xbm
%Program Files%\GPLGS\gs_m.xpm
%Program Files%\GPLGS\gs_m_m.xbm
%Program Files%\GPLGS\gs_pfile.ps
%Program Files%\GPLGS\gs_rdlin.ps
%Program Files%\GPLGS\gs_s.xbm
%Program Files%\GPLGS\gs_s.xpm
%Program Files%\GPLGS\gs_s_m.xbm
%Program Files%\GPLGS\gs_t.xbm
%Program Files%\GPLGS\gs_t.xpm
%Program Files%\GPLGS\gs_t_m.xbm
%Program Files%\GPLGS\gs_wl1_e.ps
%Program Files%\GPLGS\gs_wl2_e.ps
%Program Files%\GPLGS\gs_wl5_e.ps
%Program Files%\GPLGS\gsbj
%Program Files%\GPLGS\gsbj.bat
%Program Files%\GPLGS\gsdj
%Program Files%\GPLGS\gsdj.bat
%Program Files%\GPLGS\gsdj500
%Program Files%\GPLGS\gsdj500.bat
%Program Files%\GPLGS\gsdll32.dll
%Program Files%\GPLGS\gsdll32.lib
%Program Files%\GPLGS\gslj
%Program Files%\GPLGS\gslj.bat
%Program Files%\GPLGS\gslp
%Program Files%\GPLGS\gslp.bat
%Program Files%\GPLGS\gslp.ps
%Program Files%\GPLGS\gsnd
%Program Files%\GPLGS\gsnd.bat
%Program Files%\GPLGS\gsndt.bat
%Program Files%\GPLGS\gsnup.ps
%Program Files%\GPLGS\gssetgs.bat
%Program Files%\GPLGS\gssetgs32.bat
%Program Files%\GPLGS\gssetgs64.bat
%Program Files%\GPLGS\gst.bat
%Program Files%\GPLGS\gstt.bat
%Program Files%\GPLGS\gswin32c.exe
%Program Files%\GPLGS\ht_ccsto.ps
%Program Files%\GPLGS\image-qa.ps
%Program Files%\GPLGS\impath.ps
%Program Files%\GPLGS\Info-macos.plist
%Program Files%\GPLGS\jispaper.ps
%Program Files%\GPLGS\jobseparator.ps
%Program Files%\GPLGS\landscap.ps
%Program Files%\GPLGS\level1.ps
%Program Files%\GPLGS\lines.ps
%Program Files%\GPLGS\lp386.bat
%Program Files%\GPLGS\lp386r2.bat
%Program Files%\GPLGS\lpgs.bat
%Program Files%\GPLGS\lpr2.bat
%Program Files%\GPLGS\lprsetup.sh
%Program Files%\GPLGS\markhint.ps
%Program Files%\GPLGS\markpath.ps
%Program Files%\GPLGS\mkcidfm.ps
%Program Files%\GPLGS\necp2x.upp
%Program Files%\GPLGS\necp2x6.upp
%Program Files%\GPLGS\opdfread.ps
%Program Files%\GPLGS\packfile.ps
%Program Files%\GPLGS\pcharstr.ps
%Program Files%\GPLGS\pdf2dsc
%Program Files%\GPLGS\pdf2dsc.bat
%Program Files%\GPLGS\pdf2dsc.ps
%Program Files%\GPLGS\pdf2ps
%Program Files%\GPLGS\pdf2ps.bat
%Program Files%\GPLGS\pdf2ps.cmd
%Program Files%\GPLGS\PDFA_def.ps
%Program Files%\GPLGS\pdfopt
%Program Files%\GPLGS\pdfopt.bat
%Program Files%\GPLGS\pdfopt.ps
%Program Files%\GPLGS\pdfwrite.ps
%Program Files%\GPLGS\PDFX_def.ps
%Program Files%\GPLGS\pf2afm
%Program Files%\GPLGS\pf2afm.bat
%Program Files%\GPLGS\pf2afm.cmd
%Program Files%\GPLGS\pf2afm.ps
%Program Files%\GPLGS\pfbtopfa
%Program Files%\GPLGS\pfbtopfa.bat
%Program Files%\GPLGS\pfbtopfa.ps
%Program Files%\GPLGS\pftogsf.bat
%Program Files%\GPLGS\ppath.ps
%Program Files%\GPLGS\pphs
%Program Files%\GPLGS\pphs.ps
%Program Files%\GPLGS\prfont.ps
%Program Files%\GPLGS\printafm
%Program Files%\GPLGS\printafm.ps
%Program Files%\GPLGS\ps2ai.ps
%Program Files%\GPLGS\ps2ascii
%Program Files%\GPLGS\ps2ascii.bat
%Program Files%\GPLGS\ps2ascii.cmd
%Program Files%\GPLGS\ps2ascii.ps
%Program Files%\GPLGS\ps2epsi
%Program Files%\GPLGS\ps2epsi.bat
%Program Files%\GPLGS\ps2epsi.cmd
%Program Files%\GPLGS\ps2epsi.ps
%Program Files%\GPLGS\ps2pdf
%Program Files%\GPLGS\ps2pdf.bat
%Program Files%\GPLGS\ps2pdf.cmd
%Program Files%\GPLGS\ps2pdf12
%Program Files%\GPLGS\ps2pdf12.bat
%Program Files%\GPLGS\ps2pdf12.cmd
%Program Files%\GPLGS\ps2pdf13
%Program Files%\GPLGS\ps2pdf13.bat
%Program Files%\GPLGS\ps2pdf13.cmd
%Program Files%\GPLGS\ps2pdf14
%Program Files%\GPLGS\ps2pdf14.bat
%Program Files%\GPLGS\ps2pdf14.cmd
%Program Files%\GPLGS\ps2pdfwr
%Program Files%\GPLGS\ps2pdfxx.bat
%Program Files%\GPLGS\ps2ps
%Program Files%\GPLGS\ps2ps.bat
%Program Files%\GPLGS\ps2ps.cmd
%Program Files%\GPLGS\ps2ps2
%Program Files%\GPLGS\ps2ps2.bat
%Program Files%\GPLGS\ps2ps2.cmd
%Program Files%\GPLGS\quit.ps
%Program Files%\GPLGS\ras1.upp
%Program Files%\GPLGS\ras3.upp
%Program Files%\GPLGS\ras4.upp
%Program Files%\GPLGS\ras8m.upp
%Program Files%\GPLGS\ras24.upp
%Program Files%\GPLGS\ras32.upp
%Program Files%\GPLGS\rinkj-2200-setup
%Program Files%\GPLGS\rollconv.ps
%Program Files%\GPLGS\showchar.ps
%Program Files%\GPLGS\showpage.ps
%Program Files%\GPLGS\st640ih.upp
%Program Files%\GPLGS\st640ihg.upp
%Program Files%\GPLGS\st640p.upp
%Program Files%\GPLGS\st640pg.upp
%Program Files%\GPLGS\st640pl.upp
%Program Files%\GPLGS\st640plg.upp
%Program Files%\GPLGS\stc.upp
%Program Files%\GPLGS\stc_h.upp
%Program Files%\GPLGS\stc_l.upp
%Program Files%\GPLGS\stc2.upp
%Program Files%\GPLGS\stc2_h.upp
%Program Files%\GPLGS\stc2s_h.upp
%Program Files%\GPLGS\stc200_h.upp
%Program Files%\GPLGS\stc300.upp
%Program Files%\GPLGS\stc300bl.upp
%Program Files%\GPLGS\stc300bm.upp
%Program Files%\GPLGS\stc500p.upp
%Program Files%\GPLGS\stc500ph.upp
%Program Files%\GPLGS\stc600ih.upp
%Program Files%\GPLGS\stc600p.upp
%Program Files%\GPLGS\stc600pl.upp
%Program Files%\GPLGS\stc640p.upp
%Program Files%\GPLGS\stc800ih.upp
%Program Files%\GPLGS\stc800p.upp
%Program Files%\GPLGS\stc800pl.upp
%Program Files%\GPLGS\stc1520h.upp
%Program Files%\GPLGS\stcany.upp
%Program Files%\GPLGS\stcany_h.upp
%Program Files%\GPLGS\stcinfo.ps
%Program Files%\GPLGS\stcolor.ps
%Program Files%\GPLGS\stocht.ps
%Program Files%\GPLGS\traceimg.ps
%Program Files%\GPLGS\traceop.ps
%Program Files%\GPLGS\type1enc.ps
%Program Files%\GPLGS\type1ops.ps
%Program Files%\GPLGS\uninfo.ps
%Program Files%\GPLGS\unix-lpr.sh
%Program Files%\GPLGS\unprot.ps
%Program Files%\GPLGS\viewcmyk.ps
%Program Files%\GPLGS\viewgif.ps
%Program Files%\GPLGS\viewjpeg.ps
%Program Files%\GPLGS\viewmiff.ps
%Program Files%\GPLGS\viewpbm.ps
%Program Files%\GPLGS\viewpcx.ps
%Program Files%\GPLGS\viewps2a.ps
%Program Files%\GPLGS\viewrgb.ps
%Program Files%\GPLGS\wftopfa
%Program Files%\GPLGS\wftopfa.ps
%Program Files%\GPLGS\winmaps.ps
%Program Files%\GPLGS\wmakebat.bat
%Program Files%\GPLGS\wrfont.ps
%Program Files%\GPLGS\zeroline.ps
%Program Files%\GPLGS\acctest.ps
%Program Files%\GPLGS\addxchar.ps
%Program Files%\GPLGS\afmdiff.awk
%Program Files%\GPLGS\align.ps
%Program Files%\GPLGS\bj8.rpd
%Program Files%\GPLGS\bj8gc12f.upp
%Program Files%\GPLGS\bj8hg12f.upp
%Program Files%\GPLGS\bj8oh06n.upp
%Program Files%\GPLGS\bj8pa06n.upp
%Program Files%\GPLGS\bj8pp12f.upp
%Program Files%\GPLGS\bj8ts06n.upp
%Program Files%\GPLGS\bjc610a0.upp
%Program Files%\GPLGS\bjc610a1.upp
%Program Files%\GPLGS\bjc610a2.upp
%Program Files%\GPLGS\bjc610a3.upp
%Program Files%\GPLGS\bjc610a4.upp
%Program Files%\GPLGS\bjc610a5.upp
%Program Files%\GPLGS\bjc610a6.upp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %AppDataLocalLow%フォルダは、Windows Vista および 7 の場合、通常、"C:\Users\＜ユーザ名＞\AppData\LocalLow" です。)

プログラムは、以下のフォルダを作成します。

%Program Files%\Acro Software
%Program Files%\GPLGS
%AppDataLocalLow%\AskToolbar

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %AppDataLocalLow%フォルダは、Windows Vista および 7 の場合、通常、"C:\Users\＜ユーザ名＞\AppData\LocalLow" です。)

他のシステム変更

プログラムは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer

HKEY_CURRENT_USER\Software\AppDataLow\
AskToolbarInfo

HKEY_CURRENT_USER\Software\Ask.com

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Update

HKEY_LOCAL_MACHINE\SOFTWARE\GPL Ghostscript

HKEY_LOCAL_MACHINE\SOFTWARE\GPL Ghostscript\
9.06

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Printers\DevModes2
CutePDF Writer = "{Hex value}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation
DisplayName = "CutePDF Writer 2.8"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
CutePDF Writer Installation
UninstallString = "%Program Files%\Acro Software\CutePDF Writer\uninscpw.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer
Destination Folder = "%Program Files%\Acro Software\CutePDF Writer"

HKEY_LOCAL_MACHINE\SOFTWARE\Acro Software Inc\
CutePDF Writer
(Default) = "%Program Files%\GNUGS"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
DataDir = "%AppDataLocalLow%\AskToolbar\"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
FirstTimeRun = "0"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
Active = "1"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
to = ""

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
dtid = "{Date format}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
location = "{Location of affected machine}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
locale = "{Locale of affected machine}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
o = "{value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
cbid = "{value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
crumb = "{Install date}+{Install time}-{Random string}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Macro
qsrc = "{value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Update
ResetSAFail = "0"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
ReloadChrome = "1"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
Language = "en_US"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
FreshInstall = "0"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Update
SuggestionsURL_JSON = "http://ss.websearch.ask.com/query?qsrc=2922&li=ff&sstype=prefix&q={searchTerms}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Update
ResetSSFail = "0"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\AskToolbar\Prefs
ReloadChrome = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\GPL Ghostscript\
9.06
GS_LIB = "%Program Files%\GPLGS"

HKEY_LOCAL_MACHINE\SOFTWARE\GPL Ghostscript\
9.06
GS_DLL = "%Program Files%\GPLGS\gsdll32.dll"

その他

プログラムは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}r.ask.com/askbardis/util/askInstallChecker.jsp?v={version}p={value}&ld=&ai={value}
http://{BLOCKED}rch.ask.com/interim/askbardis/getTbProperties.jsp?tbr={value}
http://{BLOCKED}ad.{BLOCKED}ftware.com/download/converter.asp?V=W2
http://{BLOCKED}ad.{BLOCKED}ftware.com/download/gplgs.exe
http://{BLOCKED}rch.ask.com/installed?client={browser}&tb=ARS&v={version}&r=0&build={GUID value}&said={GUID value}&dtid=&lang={language}&browser-lang={browser language}
http://{BLOCKED}p.{BLOCKED}k.com/toolbar/config/defaults/{browser}/{language}/btn_search.png
http://{BLOCKED}p.{BLOCKED}k.com/toolbar/config/partner/vanilla/default_1.6wid/{browser}-config_addon.xml

対応方法

対応検索エンジン: 9.850

SSAPI パターンバージョン: 1.977.00

SSAPI パターンリリース日: 2018年6月28日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 4

自身のアンインストールオプションを使用し、「PUA_ASKTOOLBAR.GG」を削除します。

[ 詳細 ]

マルウェアのプロセスの削除DATA_GENERIC

[削除]をクリックします。

表示されるダイアログボックスの指示に従ってください。

[プログラムの追加と削除]ウインドウを閉じ、[コントロールパネル]ウインドウも閉じます。

手順 5

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- CutePDF Writer Installation
In HKEY_LOCAL_MACHINE\SOFTWARE
- Acro Software Inc
In HKEY_CURRENT_USER\Software\AppDataLow
- AskToolbarInfo
In HKEY_CURRENT_USER\Software
- Ask.com
In HKEY_CURRENT_USER\Software\AppDataLow\Software
- AskToolbar
In HKEY_LOCAL_MACHINE\SOFTWARE
- GPL Ghostscript

このマルウェアが追加したレジストリキーの削除：

「レジストリエディタ」を起動します。
- Windows 2000、XP および Server 2003 の場合：
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
- Windows Vista、7 および Server 2008 の場合：
  [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
CutePDF Writer Installation
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Acro Software Inc
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>AppDataLow
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
AskToolbarInfo
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Ask.com
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>AppDataLow>Software
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
AskToolbar
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
GPL Ghostscript
「レジストリエディタ」を閉じます。

手順 6

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Printers\DevModes2
- CutePDF Writer = "{Hex value}"

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Program Files%\Acro Software
%Program Files%\GPLGS
%AppDataLocalLow%\AskToolbar

このマルウェアまたはアドウェア等が作成したフォルダの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。

%Program Files%\Acro Software
%Program Files%\GPLGS
%AppDataLocalLow%\AskToolbar
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 4.）を繰り返してください。

%Program Files%\Acro Software
%Program Files%\GPLGS
%AppDataLocalLow%\AskToolbar

註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。

%Program Files%\Acro Software
%Program Files%\GPLGS
%AppDataLocalLow%\AskToolbar
検索が終了したら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 3.）を繰り返してください。

%Program Files%\Acro Software
%Program Files%\GPLGS
%AppDataLocalLow%\AskToolbar

註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 8

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\install_log.log
%User Temp%\ASKSUTBLOG
%System%\spool\drivers\w32x86\CUTEPDFW.PPD
%System%\spool\drivers\w32x86\PSCRIPT5.DLL
%System%\spool\drivers\w32x86\PS5UI.DLL
%System%\spool\drivers\w32x86\PSCRIPT.HLP
%System%\spool\drivers\w32x86\PSCRIPT.NTF
%System%\cpwmon2k.dll
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\CutePDF\PDF Writer\Readme.lnk
%User Temp%\converter.exe

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
%User Temp%\install_log.log
%User Temp%\ASKSUTBLOG
%System%\spool\drivers\w32x86\CUTEPDFW.PPD
%System%\spool\drivers\w32x86\PSCRIPT5.DLL
%System%\spool\drivers\w32x86\PS5UI.DLL
%System%\spool\drivers\w32x86\PSCRIPT.HLP
%System%\spool\drivers\w32x86\PSCRIPT.NTF
%System%\cpwmon2k.dll
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\CutePDF\PDF Writer\Readme.lnk
%User Temp%\converter.exe
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%User Temp%\install_log.log
%User Temp%\ASKSUTBLOG
%System%\spool\drivers\w32x86\CUTEPDFW.PPD
%System%\spool\drivers\w32x86\PSCRIPT5.DLL
%System%\spool\drivers\w32x86\PS5UI.DLL
%System%\spool\drivers\w32x86\PSCRIPT.HLP
%System%\spool\drivers\w32x86\PSCRIPT.NTF
%System%\cpwmon2k.dll
%All Users Profile%\Microsoft\Windows\Start Menu\Programs\CutePDF\PDF Writer\Readme.lnk
%User Temp%\converter.exe
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 9

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PUA_ASKTOOLBAR.GG」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください