ADW_OPENCANDY

アドウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

アドウェアは、ワーム活動の機能を備えていません。

アドウェアは、バックドア活動の機能を備えていません。

アドウェアは、作成されたファイルを実行します。

アドウェアは、ダウンロードする機能を備えていません。

侵入方法

アドウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %User Temp%\is-{random}.tmp\{malware file name}.tmp - deleted afterwards
• %User Temp%\is-{random}.tmp\_isetup\_RegDLL.tmp - deleted afterwards
• %User Temp%\is-{random}.tmp\_isetup\_shfoldr.dll - deleted afterwards
• %User Temp%\is-{random}.tmp\OCSetupHlp.dll - deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %User Temp%\is-{random}.tmp - deleted afterwards
• %User Temp%\is-{random}.tmp\_isetup - deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed\
{random}

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy
VOCV = "0"

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy
OCN = "{hex values}"

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed
VOCV = "0"

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed\
{random}
VOVC = "0"

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed\
{random}
Session = "{hex values}"

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed\
{random}
CRC = "{hex values}"

HKEY_LOCAL_MACHINE\Software\Martin Prikryl\
WinSCP 2\OpenCandy\Completed\
{random}
Installed = "{hex values}"

感染活動

アドウェアは、ワーム活動の機能を備えていません。

バックドア活動

アドウェアは、バックドア活動の機能を備えていません。

作成活動

アドウェアは、作成されたファイルを実行します。

ダウンロード活動

アドウェアは、ダウンロードする機能を備えていません。

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}ndy.{BLOCKED}p.net
• http://{BLOCKED}a.{BLOCKED}ndy.com

アドウェアは、サードパーティによるアプリケーションのインストーラと共にコンピュータに侵入するプログラムです。

レジストリの配置は、アドウェアがバンドルされたサードパーティのアプリケーションによって異なります。

アドウェアは、ルートキット機能を備えていません。

アドウェアは、脆弱性を利用した感染活動を行いません。

アドウェアが作成する以下のファイルは、その後削除されます。

• %User Temp%\is-{random}.tmp\{malware file name}.tmp
• %User Temp%\is-{random}.tmp\_isetup\_RegDLL.tmp
• %User Temp%\is-{random}.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-{random}.tmp\OCSetupHlp.dll

アドウェアが作成する以下のフォルダは、その後削除されます。

• %User Temp%\is-{random}.tmp
• %User Temp%\is-{random}.tmp\_isetup