ADW_KITO.GA

アドウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、感染コンピュータ上の特定の情報を収集します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

アドウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のファイルを作成します。

• %Application Data%\okitspace\protect\Interop.Shell32.dll
• %Application Data%\okitspace\protect\NewtonSoft.Json.dll
• %Application Data%\okitspace\protect\utilsDll.dll
• %Application Data%\okitspace\protect\config.xml
• %Application Data%\okitspace\protect\sqlite3.exe
• %Application Data%\okitspace\protect\PluginProtect.exe - detected as ADW_KITO.GA
• %Application Data%\okitspace\uninstallkit.exe
• %User Temp%\ns{random characters}.tmp\SimpleSC.dll - deleted afterwards

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %Application Data%\okitspace
• %Application Data%\okitspace\protect
• %User Temp%\ns{random value}.tmp - deleted afterwards

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect
ImagePath = "%Application Data%\okitspace\protect\PluginProtect.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect
DisplayName = "Protect your browser's extensions"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect
Start = "2"

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect

他のシステム変更

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
PluginProtect

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
PluginProtect
InstallDay = "{System Date and Time}"

情報漏えい

アドウェアは、感染コンピュータ上の以下の情報を収集します。

• System date and time
• Operating system and version
• UserID
• Default browser
• Installed browsers
• Browser Activities

その他

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}a.{BLOCKED}tk.com/xmlstatic/installers/plugins/okitspace/version
• http://{BLOCKED}a.{BLOCKED}tk.com/xmlstatic/installers/plugins/okitspace/lastplugin
• https://{BLOCKED}s.{BLOCKED}ace.com/software_stats/
• http://{BLOCKED}s.{BLOCKED}ace.com/software_stats/?action_id={id}&action_description={data}&software_id={id}&software_version={version}&user_id={user id}&user_agent={browser application}&user_date={date and time}&channel_id={id}&channel_subid={id}&channel_param={parameter}&_={data}
• http://{BLOCKED}s.{BLOCKED}ace.com/ox.php?{random letter}={data}
• http://{BLOCKED}s.{BLOCKED}ace.com/uploads/cover.js?id={id}&affid={id}&user_agent={browser}&user_id={user ID}&channel_id={ID}&channel_subid={ID}&channel_param={parameter}&software_id={ID}&software_version={version}
• http://{BLOCKED}r.{BLOCKED}ace.com/fast/get_topic_keyword/?keywords={keyword}&base_domain={website domain}&software_id={ID}&script_version={version}&_={data}
• http://{BLOCKED}n.{BLOCKED}ace.com/www/delivery/ajs.php?zoneid={id}&{random letter}={value}&{random letter}={value}&topic={data}&domain={website domain}&path={data}&ext=okitspace&_={data}
• http://{BLOCKED}.{BLOCKED}ashjs.info/base/javascript.js?hid=oksp2&channel={number}
• https://www.{BLOCKED}3.com/js/intext.js?afid=okitagency&subid={id}&maxlinks={number}&linkcolor={number}&affiliate=okitagency

アドウェアが作成する以下のファイルは、「ADW_KITO.GA」として検出されます。

• %Application Data%\okitspace\protect\PluginProtect.exe

アドウェアが作成する以下のファイルは、その後削除されます。

• %User Temp%\ns{random characters}.tmp\SimpleSC.dll

アドウェアは、ブラウザのプラグインを装います。インストールされると、アドウェアは、Webサイトにブラウザポップアップや広告を作り出すことができます。

アドウェアは、インストールしたすべてのプラグインを監視します。いずれかのプラグインが無効になると、アドウェアはすぐにプラグインを再度有効にします。いずれかのプラグインが削除された場合は、プラグインの別のコピーをダウンロードし、インストールします。