Adware.Win32.OpenCandy.GISFU

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のプロセスを追加します。

• "%User Temp%\is-NBH25.tmp\9033e400fbdb8d8e39baa5ced64fe00afdee6293.tmp" /SL5="$20168,743672,402432,%User Temp%\9033e400fbdb8d8e39baa5ced64fe00afdee6293.exe"
• RunDll32.exe "%User Temp%\is-JPMG9.tmp\OCSetupHlp.dll",_RHPID1182RHEng2@16 2300,1B3177E2706C4F62B9AE6AF923922DA0,17317710622347959862922EBBD19C1E,F8840BC0CEC44EB3B1C97B35C9202FE6
• "%User Temp%\is-JPMG9.tmp\FreemakeVideoDownloaderSetup.exe" /LANG=en /dotnet=0 locale=US /version_check=0
• "%User Temp%\is-DN1OO.tmp\FreemakeVideoDownloaderSetup.tmp" /SL5="$101E8,492392,402432,%User Temp%\is-JPMG9.tmp\FreemakeVideoDownloaderSetup.exe" /LANG=en /dotnet=0 locale=US /version_check=0
• taskkill /f /im SetupUpdate.*

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のフォルダを作成します。

• %User Temp%\is-JPMG9.tmp\_isetup
• %User Temp%\is-NN9IF.tmp\_isetup

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

アドウェアは、以下のファイルを削除します。

• %System Root%\Users\Public\Desktop\Freemake Video Downloader.lnk

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

アドウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000

HKEY_LOCAL_MACHINE\Software\Freemake

HKEY_LOCAL_MACHINE\Software\Freemake\
FreemakeVideoDownloader

アドウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\xfc\x08\x00\x00\x81\xc5\x04\xe517\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Freemake
GUID = "{94ADAE79-8BA0-4AAB-A017-0D373BF9514F}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Freemake\FreemakeVideoDownloader
OfferProvider = "OpenCandy"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "p\x00\x00O\xd4\xf017\xd5\x01"

アドウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\Sequence

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\SessionHash

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\Owner

作成活動

アドウェアは、以下のファイルを作成します。

• %User Temp%\is-JPMG9.tmp\freemake_dl.dll
• %User Temp%\is-NN9IF.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-JPMG9.tmp\topRightDownloadIcon.bmp
• %User Temp%\is-JPMG9.tmp\FreemakeVideoDownloaderSetup.exe
• %User Temp%\is-JPMG9.tmp\OCSetupHlp.dll
• %User Temp%\is-NN9IF.tmp\freemake_dl.dll
• %User Temp%\Setup Log 2019-07-11 #002.txt
• %User Temp%\Setup Log 2019-07-11 #001.txt
• %User Temp%\is-JPMG9.tmp\releases.ini
• %User Temp%\is-JPMG9.tmp\_isetup\_shfoldr.dll
• %User Temp%\is-NN9IF.tmp\itdownload.dll
• %User Temp%\is-JPMG9.tmp\itdownload.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://geoip.{BLOCKED}ke.com/geoip.php
• http://www.{BLOCKED}-analytics.com/collect
• http://installreport.{BLOCKED}ke.com/offer/offer_key.php?{random characters}
• http://installreport.{BLOCKED}ke.com/installation/installation_stat.php?{random characters}
• http://www.{BLOCKED}ke.com/releases.ini
• http://download.{BLOCKED}ke.net/Reserved/FreemakeVideoDownloaderSetup.exe
• http://installreport.{BLOCKED}ke.com/offer/offer_time.php?{random characters}
• http://api.{BLOCKED}ndy.com

このウイルス情報は、自動解析システムにより作成されました。