• Email
• Facebook
• Twitter
• Google+
• Linkedin

Adware.Win32.AdOn.A

---

• マルウェアタイプ: アドウェア
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

アドウェアは、以下のプロセスを追加します。

• "%User Temp%\FileUnlocker_Installer.exe" /silent
• "%System%\regsvr32.exe" /s "%Program Files%\Unlocker\UnlockerCOM.dll"
• "%User Temp%\bing_toolbar.exe" /silent /ignorebrowsercheck /forcedefaultsearch /launchie
• %User Temp%\bing_toolbar.exe /silent /ignorebrowsercheck /forcedefaultsearch /launchie

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

アドウェアは、以下のフォルダを作成します。

• %Program Files%\Bing Bar Installer
• %Program Files%\Bing Bar Installer\BootStrapper
• %Start Menu%\Programs\Unlocker
• %Program Files%\Unlocker

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

アドウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnlockerDriver5
ImagePath = "\??\%Program Files%\Unlocker\UnlockerDriver5.sys"

他のシステム変更

アドウェアは、以下のフォルダを削除します。

• %User Temp%\nslDD78.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

アドウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\UnlockerDriver5

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\App Paths\
Unlocker.exe

アドウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
Language = "1033"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnlockerDriver5
Type = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
OnlineVersion = "1.9.0-x64"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Unlocker.exe
(Default) = "%Program Files%\Unlocker\Unlocker.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayName = "Unlocker 1.9.0-x64"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
UninstallString = "%Program Files%\Unlocker\uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayIcon = "%Program Files%\Unlocker\Unlocker.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
DisplayVersion = "1.9.0-x64"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
URLInfoAbout = "http://ccollomb.{BLOCKED}e.fr/unlocker"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker
Publisher = "Cedrick Collomb"

アドウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Unlocker\OnlineVersion

作成活動

アドウェアは、以下のファイルを作成します。

• %Program Files%\Bing Bar Installer\BootStrapper\6.png
• %Program Files%\Bing Bar Installer\BootStrapper\2.png
• %Program Files%\Bing Bar Installer\BootStrapper\9.png
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\eBay.lnk
• %Program Files%\Bing Bar Installer\BootStrapper\install_start.htm
• %Program Files%\Unlocker\UnlockerDriver5.sys
• %User Temp%\eBay.ico
• %Program Files%\Unlocker\Unlocker.exe
• %Program Files%\Bing Bar Installer\BootStrapper\5.png
• %Start Menu%\Programs\Unlocker\Uninstall.lnk
• %Start Menu%\Programs\Unlocker\README.lnk
• %Program Files%\Bing Bar Installer\BootStrapper\11.png
• %Program Files%\Unlocker\README.TXT
• %Program Files%\Bing Bar Installer\BootStrapper\10.png
• %Program Files%\Bing Bar Installer\BootStrapper\0.png
• %Program Files%\Bing Bar Installer\BootStrapper\3.png
• %Program Files%\Bing Bar Installer\BootStrapper\7.png
• %Desktop%\eBay.lnk
• %Program Files%\Unlocker\UnlockerCOM.dll
• %User Temp%\FileUnlocker_Installer.exe
• %Program Files%\Bing Bar Installer\BootStrapper\13.png
• %Program Files%\Unlocker\Unlocker.url
• %Start Menu%\eBay.lnk
• %Program Files%\Bing Bar Installer\BootStrapper\4.png
• %Program Files%\Bing Bar Installer\BootStrapper\14.png
• %Program Files%\Bing Bar Installer\BootStrapper\8.png
• %User Temp%\bing_toolbar.exe
• %Program Files%\Bing Bar Installer\BootStrapper\1.png
• %Start Menu%\Programs\Unlocker\Website.lnk
• %Program Files%\Unlocker\UnlockerInject32.exe
• %Program Files%\Bing Bar Installer\BootStrapper\12.png
• %Program Files%\Unlocker\uninst.exe
• %Start Menu%\Programs\Unlocker\Start Unlocker Assistant.lnk
• %Start Menu%\Programs\Unlocker\Start Unlocker.lnk

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Start Menu%フォルダは、現在ログオンしているユーザのスタートメニューフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu" です。また、Windows Vista、7、8、8.1、2008(64-bit)、012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

その他

アドウェアは、以下の不正なWebサイトにアクセスします。

• http://msnportal.{BLOCKED}2.2o7.net/b/ss/msnportalmsnetoolbar?{random characters}
• http://www.{BLOCKED}a.com/clients/metrics/Service.asmx
• http://install.{BLOCKED}r.msn.com

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください