Virus.Win32.RAMNIT.DSH.orig

2019年11月5日

別名:

Trojan.Win32.Boht.ajj (Kaspersky); Troj/VB-HJF (Sophos); Trojan.Win32.Generic!BT (Sunbelt)

プラットフォーム:

Windows

危険度:

感染確認数:

マルウェアタイプ:
ファイル感染型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

ウイルスは、実行後、自身を削除します。

詳細

ファイルサイズ 518,656 bytes

タイプ EXE

メモリ常駐はい

発見日 2019年11月5日

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Temp%\MSDCSC\FULLEDUTION.exe

ウイルスは、以下のプロセスを追加します。

%User Temp%\6cbb36914e905f2c19069de444507e3806d62550Srv.exe
cmd.exe /k attrib "%User Temp%\6cbb36914e905f2c19069de444507e3806d62550.exe" +s +h
cmd.exe /k attrib "%User Temp%" +s +h
notepad
%User Temp%\MSDCSC\FULLEDUTION.exe
%Program Files%\Microsoft\DesktopLayer.exe
%System Root%\Program Files\Internet Explorer\iexplore.exe
"%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:2924 CREDAT:275457 /prefetch:2
"%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:2924 CREDAT:406533 /prefetch:2
attrib "%User Temp%\6cbb36914e905f2c19069de444507e3806d62550.exe" +s +h
attrib "%User Temp%" +s +h
%User Temp%\MSDCSC\FULLEDUTIONSrv.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ウイルスは、以下のフォルダを作成します。

%Application Data%\dclogs
%User Temp%\MSDCSC
%Application Data%\Microsoft\Windows\DNTException
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
%Application Data%\Microsoft\Windows\PrivacIE
%Application Data%\Microsoft\Windows\IECompatUACache
%Application Data%\Microsoft\Windows\IECompatCache
%Program Files%\Microsoft
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
FULLEDUTION = "%User Temp%\MSDCSC\FULLEDUTION.exe"

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
UserInit = "%System%\userinit.exe,%User Temp%\MSDCSC\FULLEDUTION.exe"

(註：変更前の上記レジストリ値は、「%Windows%\system32\userinit.exe,」となります。)

他のシステム変更

ウイルスは、以下のファイルを削除します。

%AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ウイルスは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\DC3_FEXEC

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

ウイルスは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

作成活動

ウイルスは、以下のファイルを作成します。

%AppDataLocal%\Microsoft\Internet Explorer\imagestore\joppu72\imagestore.dat
%Program Files%\Microsoft\pxAFCE.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD90-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\secure-ds.serving-sys[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{ADDAFFEE-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\3UYAQU1F\contextual.media[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\www.msn[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\PDYB5D8B\tag.idsync.analytics.yahoo[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
%Program Files%\Microsoft\DesktopLayer.exe
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\widgets.outbrain[1].xml
%Program Files%\Microsoft\pxD779.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8D-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8F-A146-11E9-A037-005056BC6F22}.dat
%User Temp%\MSDCSC\FULLEDUTIONSrv.exe
%User Temp%\6cbb36914e905f2c19069de444507e3806d62550Srv.exe

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

http://tps703.{BLOCKED}verify.com/bsevent.gif?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJJjDY.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAywSGf.img?{random characters}
http://ib.{BLOCKED}s.com/async_usersync?{random characters}
http://js.{BLOCKED}s.com/thetradedeskv275874568748/moatad.js
http://tps.{BLOCKED}verify.com/visit.js?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AABDCDz.img?{random characters}
http://c.{BLOCKED}n.com/a/n/709/66266.js
http://choices.{BLOCKED}rc.com/cap?{random characters}
http://c.{BLOCKED}d.com/a/4.gif
http://sync.{BLOCKED}x.io/usersync/turn/8110027794277512610?{random characters}
http://pixel.{BLOCKED}nproject.com/tap.php?{random characters}
http://aa.{BLOCKED}n.com/adscores/g.js?{random characters}
http://tps30.{BLOCKED}verify.com/visit.js?{random characters}
http://sync.{BLOCKED}v.com/genericusersync.ashx?{random characters}
http://e1.{BLOCKED}t.com/put?{random characters}
http://amobee-partners.{BLOCKED}hub.com/sync?UITN=8110027794277512610
http://pixel.{BLOCKED}d.com/idsync/ex/receive?{random characters}
http://d.{BLOCKED}n.com/{random path}
http://image2.{BLOCKED}ic.com/AdServer/Pug?{random characters}
http://c.{BLOCKED}n.com/icon/box_19_top-left.png
http://c.{BLOCKED}n.com/a/COMMON.css?r=0.5927641227064189
http://dsp.{BLOCKED}v.fwmrm.net/ad/u?{random characters}
http://ce.{BLOCKED}t.com/merge?{random characters}
http://ib.{BLOCKED}s.com/setuid?{random characters}
http://pixel.{BLOCKED}ising.com/ups/55939/sync?{random characters}
http://dmp.{BLOCKED}ik.com/51a1fcd65d2f7390/sync.gif?dm=turn.com&fck=
http://tps11010.{BLOCKED}verify.com/event.png?{random characters}
http://dsum.{BLOCKED}media.com/rum?{random characters}
http://global.{BLOCKED}i.com/image.sbxx?{random characters}
http://ads.{BLOCKED}adstv.com/user-registering?{random characters}
http://sync.{BLOCKED}h.spotxchange.com/partner?{random characters}
http://c.{BLOCKED}d.com/durly.js?{random characters}
http://ib.{BLOCKED}1.com/image.sbxx?{random characters}
http://tps11031.{BLOCKED}verify.com/event.png?{random characters}
http://c.{BLOCKED}n.com/a/n/996/134030.js
http://c.{BLOCKED}n.com/icon/c_30_us.png
http://c.{BLOCKED}n.com/a/COMMON.css?r=0.20328668909769143
http://c.{BLOCKED}n.com/icon/box_77_top-right.png
http://c.{BLOCKED}n.com/a/1.css?r=0.4130840125505135
http://pixel.{BLOCKED}d.com/idsync/ex/receive/check?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJgg2P.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAtKMMs.img?{random characters}
http://ups.{BLOCKED}ics.yahoo.com/ups/55939/sync?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJShu4.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAzMEGi.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQYrP.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJR8R7.img?{random characters}
http://match.{BLOCKED}r.org/track/cmf/generic?{random characters}
http://b.{BLOCKED}ardresearch.com/p?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJR33c.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAyxkRJ.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQFVg.img?{random characters}
http://sync.{BLOCKED}v.com/genericusersync.ashx?dpid=1701
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAIsz2P.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AABiyAn.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBAq9.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAFnoSW.img?{random characters}
http://sync.{BLOCKED}v.com/GenericUserSync.ashx?dpid=1702%2F
http://dmp.{BLOCKED}ik.com/8bf33fe57526aec8/sync.gif?{random characters}
http://sync.{BLOCKED}v.com/GenericUserSync.ashx?dpid=1704
http://tags.{BLOCKED}i.com/site/5379?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQITE.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJLxyx.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAxspu1.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAvM8PW.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJkY18.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAvNCcs.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAFwUiI.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBnGKDa.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJJcmD.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AADeDDC.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAE4twj.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BB4KnC.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJLg0a.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQElG.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBfBQ.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJRyXA.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJdJLa.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BB90I6E.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJv14L.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AA9YFNL.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJLF8P.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBUE1Db.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQQ9Q.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAIA7Ax.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAIM1Of.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJF9n3.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJGJNV.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJ76US.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAE5IYW.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQR6L.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AABDUsZ.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAFAoFW.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGpJTA.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGpDJm.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGpMwR.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJFdob.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJF9Xs.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJFdmC.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJF0Ta.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGw23J.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGw4Q8.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGvLL9.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGvV00.img?{random characters}
http://www.{BLOCKED}g.com
http://api.{BLOCKED}g.com
http://linkmaker.{BLOCKED}s.apple.com
http://sb.{BLOCKED}ardresearch.com
http://web.{BLOCKED}x.data.msn.com
http://z.{BLOCKED}s.com
http://msn.{BLOCKED}dome.com
http://widgets.{BLOCKED}e.com
http://contextual.{BLOCKED}a.net
http://cms.{BLOCKED}ics.yahoo.com
http://login.{BLOCKED}e.com
http://px.{BLOCKED}s.linkedin.com
http://apx.{BLOCKED}s.com
http://www.{BLOCKED}in.com
http://p.{BLOCKED}totic.com
http://srtb.{BLOCKED}n.com
http://hbx.{BLOCKED}a.net
http://www.{BLOCKED}tagservices.com
http://lt-external-widgets.{BLOCKED}3.amazonaws.com
http://cdnjs.{BLOCKED}lare.com
http://pr-bh.{BLOCKED}p.yahoo.com
http://www.{BLOCKED}tagmanager.com
http://idsync.{BLOCKED}n.com
http://b1sync.{BLOCKED}a.com
http://tag.{BLOCKED}c.analytics.yahoo.com
http://dpm.{BLOCKED}x.net
http://sync-jp.{BLOCKED}s.net
http://id.{BLOCKED}m.com
http://beacon.{BLOCKED}d.net
http://rtb.{BLOCKED}vr.com
http://x.{BLOCKED}tch.net
http://dis.{BLOCKED}o.com
http://{BLOCKED}4.com
http://cd.{BLOCKED}p.com
http://cm.{BLOCKED}g.doubleclick.net
http://ps.{BLOCKED}a.net
http://px.{BLOCKED}inks.com
http://dsp.{BLOCKED}1.adition.com
http://{BLOCKED}k.com
http://loadus.{BLOCKED}or.com
http://sync.{BLOCKED}trl.net
http://{BLOCKED}o.com
http://track.{BLOCKED}wads.com
http://p.{BLOCKED}b.com
http://e.{BLOCKED}x.addthis.com
http://lg3.{BLOCKED}a.net
http://stags.{BLOCKED}i.com
http://gum.{BLOCKED}o.com
http://x.{BLOCKED}x.addthis.com
http://res.{BLOCKED}a.net
http://service.{BLOCKED}c.analytics.yahoo.com
http://de9a11s35xj3d.{BLOCKED}ront.net
http://hblg.{BLOCKED}a.net
http://rtb-use.{BLOCKED}vr.com
http://pix.{BLOCKED}s.criteo.net
http://cat.{BLOCKED}a.us.criteo.com
http://sqm.{BLOCKED}try.microsoft.com
http://protected-by.{BLOCKED}m.io
http://tags.{BLOCKED}g.com
http://cdn3.{BLOCKED}verify.com
http://pixel.{BLOCKED}g.com
http://bs.{BLOCKED}g-sys.com
http://secure-ds.{BLOCKED}g-sys.com
http://go.{BLOCKED}oft.com/fwlink/?LinkId=69157
http://www.{BLOCKED}n.com/?ocid=iehp
http://o.{BLOCKED}n.com/ads/adswrappermsni.js
http://static-global-s-msn-com.{BLOCKED}zed.net/{random path}?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGpOUO.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAGUW9m.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQKnj.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBiwNf.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/hp-wus/sc/ea/4996b9.woff
http://www.{BLOCKED}n.com/en-us/homepage/irisbannerajax?{random characters}
http://c.{BLOCKED}n.com/c.gif?{random characters}
http://c.{BLOCKED}g.com/c.gif?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/hp-wus/sc/c6/cfdbd9.png
http://at.{BLOCKED}a.com/{random path}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AA36Tom.img?{random characters}
http://adserver.{BLOCKED}h.advertising.com/{random path}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJGPOb.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQFzm.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJOzj7.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBm2Dvk.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAywufo.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJF4XX.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQTWN.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BB4kwAp.img?{random characters}
http://acdn.{BLOCKED}s.com/ast/ast.js
http://banner.{BLOCKED}ising.com/ads/msn3.html
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJDSJ6.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAfZ6og.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJDy7u.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAA8PBm.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJIi4F.img?{random characters}
http://www.{BLOCKED}n.com/en-us/homepage/npsajax?ver=20191026_19197347
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQAjo.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQRkP.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJRyJG.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBUDFrs.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJPmc7.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBUE38v.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAIM6SY.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/BBTg0tm.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAILYH4.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/AAyW7G9.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/AA565dd.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/BBRL5wW.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/AAEHtW3.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/BBTUVWY.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAFTSRF.img?{random characters}
http://g.{BLOCKED}g.com/uac/request?{random characters}
http://g.{BLOCKED}g.com/uac/response?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/AAyhxXG.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJPRvu.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQOod.img?h=75&w=100&m=6&q=60&u=t&o=t&l=f
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQAsl.img?h=75&w=100&m=6&q=60&u=t&o=t&l=f
http://static.{BLOCKED}eat.com/js/{BLOCKED}eat.js
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQQQc.img?h=75&w=100&m=6&q=60&u=t&o=t&l=f
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJPl2j.img?h=75&w=100&m=6&q=60&u=t&o=t&l=f
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/AA8I0Dg.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQVW8.img?h=75&w=100&m=6&q=60&u=t&o=t&l=f
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/BB1ba5a.img?{random characters}
http://img-s-msn-com.{BLOCKED}zed.net/tenant/amp/entityid/BBTg0rh.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAywOab.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQznF.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AACl6Lf.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJPN4n.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQZ01.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJCof2.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJSpk9.img?h=75&w=100&m=6&q=60&u=t&o=t&l=f
http://m.{BLOCKED}s.com/ut/v3
http://eb2.{BLOCKED}t.com/mapuid?{random characters}
http://eb2.{BLOCKED}t.com/getuid?ld=1&gdpr=0&cmp_cs=
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJOXKq.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBz3ebk.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJJ3Ua.img?{random characters}
http://cdn.{BLOCKED}a.com/TaboolaCookieSyncScript.js
http://widgets.{BLOCKED}in.com/external/publishers/msn/MSNIdSync.js
http://ping.{BLOCKED}eat.net/ping?{random characters}
http://ib.{BLOCKED}s.com/async_usersync_file
http://acdn.{BLOCKED}s.com/dmp/async_usersync.html
http://sync.{BLOCKED}in.com/uidmapjsonp?{random characters}
http://c.{BLOCKED}g.com/c.gif?Red3=MSOATH_pd
http://tag.{BLOCKED}p.advertising.com/{BLOCKED}p.js
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAIRzSS.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAD1xsY.img?{random characters}
http://ib.{BLOCKED}s.com/async_usersync?cbfn=queuePixels
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAB9bd7.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AA3HAHV.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBu5BOA.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJR78Z.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJS5we.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAFwUbF.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJR3hK.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAgymO6.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJRPiD.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBmbl06.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQYlH.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAywHbG.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQOYr.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQceQ.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBNZK17.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAywGC0.img?{random characters}
http://confiant.{BLOCKED}n.com/?{random characters}
http://lax1-ib.{BLOCKED}s.com/it?{random characters}
http://usw-lax.{BLOCKED}r.org/bid/feedback/appnexus?{random characters}
http://ad.{BLOCKED}n.com/server/ads.js?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJOB0T.img?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/BBgkbck.img?{random characters}
http://www.{BLOCKED}n.com/en-us/homepage/api/pagedatarequest?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAy3CUU.img?{random characters}
http://rtb2.{BLOCKED}verify.com/verify.js?{random characters}
http://acdn.{BLOCKED}s.com/dmp/async_usersync.html?{random characters}
http://c.{BLOCKED}n.com/geo/ba.js?r181114
http://c.{BLOCKED}n.com/a/4.gif
http://cdn.{BLOCKED}verify.com/dv-match6.js
http://rtb0.{BLOCKED}verify.com/verify.js?{random characters}
http://{BLOCKED}4.148.166/rd_log?{random characters}
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AACxTgd.img?{random characters}
http://tps706.{BLOCKED}verify.com/bsevent.gif?{random characters}
http://c.{BLOCKED}n.com/a/n/290/3689.js
http://cdn.{BLOCKED}s.com/v/s/180/trk.js
http://static-global-s-msn-com.{BLOCKED}zed.net/img-resizer/tenant/amp/entityid/AAJQAgK.img?{random characters}
http://tps710.{BLOCKED}verify.com/bsevent.gif?{random characters}
http://lax1-ib.{BLOCKED}s.com/rd_log?{random characters}
http://presentation-sjc2.{BLOCKED}n.com/server/dynamic_ddc.htm?{random characters}
http://lax1-ib.{BLOCKED}s.com/vevent?{random characters}
http://c.{BLOCKED}n.com/a/COMMON.css?r=0.8783402581322953
http://c.{BLOCKED}n.com/icon/box_19_top-right.png
http://c.{BLOCKED}n.com/icon/ci.png
http://l.{BLOCKED}d.com/{random path}?{random characters}
http://c.{BLOCKED}n.com/a/6.css?r=0.8926138925060223
http://img.{BLOCKED}s.turn.com
http://r.{BLOCKED}n.com
http://choices.{BLOCKED}e.com
http://geo.{BLOCKED}s.com
http://ieonline.{BLOCKED}oft.com
http://services.{BLOCKED}g-sys.com
http://www.{BLOCKED}w.com
http://gizmo.{BLOCKED}g-sys.com
http://swc.{BLOCKED}n.skype.com
http://config.{BLOCKED}e.skype.com
http://a.{BLOCKED}w.skype.com
http://az724953.{BLOCKED}o.msecnd.net
http://browser.{BLOCKED}e.aria.microsoft.com
{BLOCKED}0.137.94

ウイルスは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。

対応方法

対応検索エンジン: 9.850

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

スタートアップディスク、または、回復コンソールを用いて、「Virus.Win32.RAMNIT.DSH.orig」として検出されたファイルを確認し削除します。

[ 詳細 ]

マルウェアのファイルの確認および削除：

• Windows XP および Server 2003 の場合：

最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。
[スタート]-[ファイル名を指定して実行]を選択し、"secpol.msc" と入力し、Enter を押します。
左側のパネルにある [ローカルポリシー]-[セキュリティオプション] をダブルクリックします。
右側のパネルにある [回復コンソール：すべてのドライブとフォルダに、フロッピーのコピーとアクセスを許可する] をダブルクリックします。
[有効] を選択し、[OK] をクリックします。
Windows のインストール CD を使用して、コンピュータを再起動します。
[セットアップへようこそ] 画面で、修復の R キーを押します。
キーボードを選択します。
修復する Windows がインストールされているドライブを選択します（通常は 1 を選択します）。
管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずにEnter を押します。
以下のコマンドを入力し、Enter を押します。
SET AllowAllPaths = TRUE
del "＜上記で確認したマルウェアのパス名およびファイル名＞"
※del と "＜上記で確認したマルウェアのパス名およびファイル名＞" の間に半角スペースを入れてください。
コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。

• Windows Vista、7 および Server 2008 の場合：

Windows のインストールDVDを使用して、コンピュータを再起動します。
インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。
[Windowsの起動に伴う問題の修復用の回復ツールを使用します。]を選択。インストールされたWindowsを選択し、[次へ]をクリックします。
[スタートアップ修復]ウィンドウが表示される場合、[キャンセル]－[はい]－[終了]をクリックします。
[詳細オプション]－[コマンドプロンプト]を選択。[コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。
BootRec.exe /fixmbr
del "＜上記で確認したマルウェアのパス名およびファイル名＞"
※del と "＜上記で確認したマルウェアのパス名およびファイル名＞" の間に半角スペースを入れてください。
上記で検出されたすべてのファイルについてこの手順を繰り返します。
exitを入力し、Enterを押し、コマンドプロンプト画面を閉じます。
[再起動]をクリックし、コンピュータを通常起動します。

• Windows 8、8.1 および Server 2012 の場合：

Windows のインストールDVDを使用して、コンピュータを再起動します。
インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。
[トラブルシューティング]－[詳細オプション]－[コマンドプロンプト]を選択。[コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。
BootRec.exe /fixmbr
del "＜上記で確認したマルウェアのパス名およびファイル名＞"
※del と "＜上記で確認したマルウェアのパス名およびファイル名＞" の間に半角スペースを入れてください。
上記で検出されたすべてのファイルについてこの手順を繰り返します。
exitを入力し、Enterを押し、コマンドプロンプト画面を閉じます。
[再起動]をクリックし、コンピュータを通常起動します。

手順 3

「Virus.Win32.RAMNIT.DSH.orig」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

レジストリエディタおよびタスクマネージャ、フォルダオプションの機能を有効にします。

[ 詳細 ]

この手順により、このウイルスが無効にした他のアプリケーションまたはプログラムの機能も有効になります。

手順 5

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software
- DC3_FEXEC

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies
- System

手順 6

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- FULLEDUTION = "%User Temp%\MSDCSC\FULLEDUTION.exe"

手順 7

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: UserInit = "%System%\userinit.exe,%User Temp%\MSDCSC\FULLEDUTION.exe"
  To: UserInit = ""%Windows%\system32\userinit.exe,""

手順 8

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%AppDataLocal%\Microsoft\Internet Explorer\imagestore\joppu72\imagestore.dat
%Program Files%\Microsoft\pxAFCE.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD90-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\secure-ds.serving-sys[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{ADDAFFEE-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\3UYAQU1F\contextual.media[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\www.msn[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\PDYB5D8B\tag.idsync.analytics.yahoo[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
%Program Files%\Microsoft\DesktopLayer.exe
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\widgets.outbrain[1].xml
%Program Files%\Microsoft\pxD779.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8D-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8F-A146-11E9-A037-005056BC6F22}.dat
%User Temp%\MSDCSC\FULLEDUTIONSrv.exe
%User Temp%\6cbb36914e905f2c19069de444507e3806d62550Srv.exe

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
%AppDataLocal%\Microsoft\Internet Explorer\imagestore\joppu72\imagestore.dat
%Program Files%\Microsoft\pxAFCE.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD90-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\secure-ds.serving-sys[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{ADDAFFEE-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\3UYAQU1F\contextual.media[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\www.msn[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\PDYB5D8B\tag.idsync.analytics.yahoo[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
%Program Files%\Microsoft\DesktopLayer.exe
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\widgets.outbrain[1].xml
%Program Files%\Microsoft\pxD779.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8D-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8F-A146-11E9-A037-005056BC6F22}.dat
%User Temp%\MSDCSC\FULLEDUTIONSrv.exe
%User Temp%\6cbb36914e905f2c19069de444507e3806d62550Srv.exe
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%AppDataLocal%\Microsoft\Internet Explorer\imagestore\joppu72\imagestore.dat
%Program Files%\Microsoft\pxAFCE.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD90-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\secure-ds.serving-sys[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{ADDAFFEE-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\3UYAQU1F\contextual.media[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\www.msn[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\PDYB5D8B\tag.idsync.analytics.yahoo[1].xml
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
%Program Files%\Microsoft\DesktopLayer.exe
%AppDataLocal%\Microsoft\Internet Explorer\DOMStore\82DF2NUK\widgets.outbrain[1].xml
%Program Files%\Microsoft\pxD779.tmp
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8D-A146-11E9-A037-005056BC6F22}.dat
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{B3C9BD8F-A146-11E9-A037-005056BC6F22}.dat
%User Temp%\MSDCSC\FULLEDUTIONSrv.exe
%User Temp%\6cbb36914e905f2c19069de444507e3806d62550Srv.exe
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 9

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Application Data%\dclogs
%User Temp%\MSDCSC
%Application Data%\Microsoft\Windows\DNTException
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
%Application Data%\Microsoft\Windows\PrivacIE
%Application Data%\Microsoft\Windows\IECompatUACache
%Application Data%\Microsoft\Windows\IECompatCache
%Program Files%\Microsoft
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active

このマルウェアまたはアドウェア等が作成したフォルダの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
%Application Data%\dclogs
%User Temp%\MSDCSC
%Application Data%\Microsoft\Windows\DNTException
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
%Application Data%\Microsoft\Windows\PrivacIE
%Application Data%\Microsoft\Windows\IECompatUACache
%Application Data%\Microsoft\Windows\IECompatCache
%Program Files%\Microsoft
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 4.）を繰り返してください。
%Application Data%\dclogs
%User Temp%\MSDCSC
%Application Data%\Microsoft\Windows\DNTException
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
%Application Data%\Microsoft\Windows\PrivacIE
%Application Data%\Microsoft\Windows\IECompatUACache
%Application Data%\Microsoft\Windows\IECompatCache
%Program Files%\Microsoft
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active

註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%Application Data%\dclogs
%User Temp%\MSDCSC
%Application Data%\Microsoft\Windows\DNTException
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
%Application Data%\Microsoft\Windows\PrivacIE
%Application Data%\Microsoft\Windows\IECompatUACache
%Application Data%\Microsoft\Windows\IECompatCache
%Program Files%\Microsoft
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
検索が終了したら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 3.）を繰り返してください。
%Application Data%\dclogs
%User Temp%\MSDCSC
%Application Data%\Microsoft\Windows\DNTException
%AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions
%Application Data%\Microsoft\Windows\PrivacIE
%Application Data%\Microsoft\Windows\IECompatUACache
%Application Data%\Microsoft\Windows\IECompatCache
%Program Files%\Microsoft
%AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active

註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 10

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Virus.Win32.RAMNIT.DSH.orig」と検出したファイルの駆除を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 11

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

%AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico

ご利用はいかがでしたか？　アンケートにご協力ください

Virus.Win32.RAMNIT.DSH.orig

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

Virus.Win32.RAMNIT.DSH.orig

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

The Americas

Asia Pacific

Europe, Middle East & Africa