• Email
• Facebook
• Twitter
• Google+
• Linkedin

ADW_INSTALLCORE

---

• マルウェアタイプ: アドウェア
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

アドウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにアドウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

---

  詳細

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

アドウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\ish{random number}\csshove3.htc
• %UserTemp%\is{random number}\{random number}.cfg
• %UserTemp%\is{random number}\{random number}_Setup.CIS

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

アドウェアは、以下のフォルダを作成します。

• %User Temp%\ish{random number}
• %User Temp%\is{random number}
• %Start Menu%\Programs\Uncompressor
• %Program Files%\Uncompressor
• %Program Files%\Uncompressor\Uninstall

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

アドウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor
DisplayIcon = "%Program Files%\Uncompressor\Uninstall\Uninstall.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor
DisplayName = "Uncompressor"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor
UninstallString = "%Program Files%\Uncompressor\Uninstall\Uninstall.exe /Uninstall"

アドウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Uncompressor

ダウンロード活動

アドウェアは、以下の不正Webサイトにアクセスします。

• http://rp.{BLOCKED}freecdn.com/?pcrc={random}
• http://cdneu.{BLOCKED}ile.com - inaccessible
• http://os.{BLOCKED}ile.com - inaccessible
• http://rp.{BLOCKED}le.com - inaccessible
• http://cdneu.{BLOCKED}n.com/app/AfterDownload/uncompressor_big_repack.cis
• http://cdneu.{BLOCKED}n.com/ofr/BabylonToolbarV7.cis
• http://cdneu.{BLOCKED}n.com/ofr/IWantThis_ADL_ROW_V1.cis

その他

アドウェアがアクセスする以下のWebサイトは、現在アクセス不能です。

• http://cdneu.{BLOCKED}ile.com
• http://os.{BLOCKED}ile.com
• http://rp.{BLOCKED}le.com

アドウェアは、以下のアイコンを利用します。

アドウェアは、以下のインストールウィンドウのいずれかを表示します。

アドウェアは、以下のアプリケーションをインストールするかをユーザに確認します。

• Babylon's Toolbar
• IWantThis

アドウェアは、以下のインストールオプションのいずれかを表示します。

ユーザが上述のアプリケーションのインストールに同意した場合、アドウェアは、以下のファイルを作成および実行します。

• %User Temp%\is{random number}\MyBabylonTB.exe
• %User Temp%\is{random number}\IWantThis_ADL_ROW.exe - 「ADW_GAMEPLAYLABS」として検出

インストールされると、アドウェアは以下の無害なファイルを作成します。

• %Desktop%\Uncompressor.lnk
• %Start Menu%\Programs\Uncompressor\Uncompressor.lnk
• %Start Menu%\Programs\Uncompressor\Uninstall Uncompressor.lnk
• %Program Files%\Uncompressor\7z.dll
• %Program Files%\Uncompressor\uncompressor.exe
• %Program Files%\Uncompressor\Uninstall\uninst.dat
• %Desktop%\Continue FoxTab PDF Creator Installation.lnk

アドウェアは、自身のコピーとして以下のファイルのいずれかを作成します。

• %Program Files%\Uncompressor\Uninstall\Uninstall.exe
• %UserTemp%\ICReinstall_{Grayware File Name}.exe

  ---

    対応方法

  対応検索エンジン: 9.200

  SSAPI パターンバージョン: 1.315.00

  SSAPI パターンリリース日: 2012年8月9日

  手順 1

  Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

  手順 2

  このマルウェアのパス名およびファイル名を確認します。
  最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「ADW_INSTALLCORE」で検出したパス名およびファイル名を確認し、メモ等をとってください。

  手順 3

  「ADW_INSTALLCORE」で検出したファイル名を確認し、そのファイルを終了します。

  [ 詳細 ]

  [ 戻る ]

  
  

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

  マルウェアのプロセス終了：

  1. 最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行し、検出したマルウェアのファイル名を確認し、メモ等をとってください。
  2. タスクマネージャを起動します。
     • Windows 2000、XP、Server 2003 、Vista、7 および Server 2008の場合、CTRL+SHIFT+ESCを押し、[プロセス]タブをクリックします。
     • Windows 8、8.1および Server 2012の場合、 [詳細]タブをクリックします。
  3. 実行中のプログラムのリストから、上記で検出したマルウェアのファイルを選択します。
  4. 使用しているWindowsのバージョンに応じて、[タスクの終了]、または、[プロセスの終了]をクリックします。
  5. 同様の手順で、上記で確認したマルウェアのファイルをすべて終了してください。
  6. マルウェアのプロセスが終了されているかを確認するには、タスクマネージャを閉じ、再度開いてください。
  7. タスクマネージャを閉じてください。

  手順 4

  「ADW_INSTALLCORE」 が作成またはダウンロードした不正なファイルを削除します。（註：以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。）

  • ADW_GAMEPLAYLABS

  手順 5

  自身のアンインストールオプションを使用し、「ADW_INSTALLCORE」を削除します。

  [ 詳細 ]

  [ 戻る ]

  マルウェアのプロセスの削除

  マルウェアのプロセスの削除：

  1. コントロールパネルを開きます。
     • Windows 2000、XP および Server 2003 の場合：
     [スタート]-[コントロールパネル]をクリックし、[プログラムの追加と削除]をダブルクリックします。
     • Windows XP、Server 2003、Vista、7、Server 2008、8、8.1 および Server 2012 の場合：
     [コントロールパネル]が、クラシック表示 (Windows Vista) または大アイコン／小アイコンによる表示 (Windows 7およびそれ以上のバージョン)であることを確認してください。（Windows XP および Server 2003は除く）
     • Windows Vista、7 および Server 2008 の場合：
     [スタート]-[コントロールパネル]－[プログラム]－[プログラムと機能]をクリックします。
     • Windows 8、8.1 および Server 2012 の場合：
     画面の左下隅を右クリックし、[スタート]－[コントロールパネル]－[プログラムと機能]を選択します。

表示されたリストから以下のプログラムを選択します。
 

• Uncompressor

[削除]をクリックします。

表示されるダイアログボックスの指示に従ってください。

[プログラムの追加と削除]ウインドウを閉じ、[コントロール パネル]ウインドウも閉じます。