ADW_INSTALLREX.GA

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• {All Users' Application Data}\InstallMate\{{random GUID}}\{date and time of installation}.log
• {All Users' Application Data}\InstallMate\{{random GUID}}\_Setup.dll
• {All Users' Application Data}\InstallMate\{{random GUID}}\Custom.dll
• {All Users' Application Data}\InstallMate\{{random GUID}}\Readme.txt
• {All Users' Application Data}\InstallMate\{{random GUID}}\Setup.dat
• {All Users' Application Data}\InstallMate\{{random GUID}}\Setup.exe
• {All Users' Application Data}\InstallMate\{{random GUID}}\Setup.ico
• {All Users' Application Data}\InstallMate\{{random GUID}}\TsuDll.dll

アドウェアは、以下のフォルダを作成します。

• {All Users's Application Data}\InstallMate
• {All Users's Application Data}\VenusApp Software

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
UninstallString = "{All Users' Application Data}\InstallMate\{{random GUID}}\Setup.exe /remove /q0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
QuietUninstallString = "{All Users' Application Data}\InstallMate\{{random GUID}}\Setup.exe /remove /q"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
Version = "1000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
VersionMinor = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
EstimatedSize = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
Language = "00000409"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
TSAware = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{random GUID}
TizPath = "{malware path and file name}"

ダウンロード活動

アドウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Desktop%\Windows 9 Professional (Eng_x64_Single Link) May 2014 _ Premium XP.exe - currently detected by Trend Micro as TROJ_SPNR.08GN14

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。)

その他

アドウェアは、以下のWebサイトにアクセスし、自身の画面に表示する画像をダウンロードします。

• http://i1.{BLOCKED}taget.com/images/general_logo.bmp
• http://i1.{BLOCKED}taget.com/images/general_logo.jpg

アドウェアは以下のWebサイトにアクセスして、自身のインストールを通知します。

• http://r1.{BLOCKED}dirall.net/?report_version=5&
• http://c1.{BLOCKED}okallguard.net/

アドウェアは、自身が現在実行されているコンピュータのMACアドレスを送信します。MACアドレスが以前に報告されたいずれのMACアドレスとも一致しなかった場合、このアドウェアは、自身を終了します。 アドウェアは、自身が現在実行されているコンピュータのMACアドレスを送信します。MACアドレスが以前に報告されたいずれのMACアドレスとも一致しなかった場合、このアドウェアは、自身を終了します。

自身の画面に表示されているユーザの選択に応じて、このアドウェアは、以下のファイルを1つ以上ダウンロードし、実行します。

• http://i1.{BLOCKED}taget.com/addons/dfndr/180/tpq.exe
• http://i1.{BLOCKED}taget.com/addons/agup.exe
• http://dl.{BLOCKED}rvers.net/111000524/OptimizerPro.exe
• http://dl.{BLOCKED}rvers.net/171000524/LiveSupport.exe
• http://dl.{BLOCKED}rvers.net/121000511/DriverPro.exe

以下のファイルは、トレンドマイクロの製品では、「ADW_SPROTECT」として検出されます。

• http://i1.{BLOCKED}taget.com/addons/dfndr/180/tpq.exe

以下のファイルは、はトレンドマイクロの製品では、「ADW_MULTIPLUG」として検出されます。

• http://i1.{BLOCKED}taget.com/addons/agup.exe