解析者: Sammy Chua   
 別名:

Downloader.Win32.Agent.ebvi (Kaspersky); W32/Generic.AC.2003 (Fortinet); Trojan.Agent (Ikarus)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

  詳細

ファイルサイズ 5,033,968 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年8月20日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Temp%\nsp7.tmp
  • %User Temp%\nse8.tmp\Banner.dll
  • %User Temp%\nse8.tmp\KPTool.dll
  • %User Temp%\nse8.tmp\System.dll
  • %User Temp%\nse8.tmp\NSISdl.dll
  • %User Temp%\nse8.tmp\nsf9.tmp
  • %User Temp%\nse8.tmp\inetc.dll
  • %User Temp%\nse8.tmp\data.xml
  • %User Temp%\nse8.tmp\nsisXML.dll
  • %User Temp%\nse8.tmp\close.png
  • %User Temp%\nse8.tmp\bg.bmp
  • %User Temp%\nse8.tmp\EmbedWeb.dll
  • %User Temp%\nse8.tmp\sndsock.dll
  • %User Temp%\nse8.tmp\check.png
  • %User Temp%\nse8.tmp\browse.png
  • %User Temp%\nse8.tmp\button.png
  • %User Temp%\nse8.tmp\nsDialogs.dll
  • %User Temp%\nse8.tmp\Button.dll
  • %User Temp%\nse8.tmp\ToolTips.dll
  • %User Temp%\nse8.tmp\img.png
  • %Program Files%\haitunrili\Clock32.dll
  • %Program Files%\haitunrili\Clock64.dll
  • %Program Files%\haitunrili\Power.exe
  • %Program Files%\haitunrili\SoftUpd.exe
  • %Program Files%\haitunrili\Vstart64.exe
  • %Program Files%\haitunrili\clock32.exe
  • %Program Files%\haitunrili\clock64.exe
  • %Program Files%\haitunrili\htrl.exe
  • %Program Files%\haitunrili\online_c.html
  • %Program Files%\haitunrili\uninst.exe
  • %Program Files%\haitunrili\Data\2013.xml
  • %Program Files%\haitunrili\Data\2013JieQi.xml
  • %Program Files%\haitunrili\Data\2014.xml
  • %Program Files%\haitunrili\Data\2014JieQi.xml
  • %Program Files%\haitunrili\Data\HuangLi.mdb
  • %Program Files%\haitunrili\Data\UserNoteText.xml
  • %Program Files%\haitunrili\Data\index.html
  • %Program Files%\haitunrili\360Ini.dll
  • %Program Files%\haitunrili\SoftApp.ini
  • %Program Files%\haitunrili\Vstart32.dll
  • %Program Files%\haitunrili\Vstart64.dll
  • %Program Files%\haitunrili\Config.ini
  • %User Temp%\nse8.tmp\check.png
  • %User Temp%\nse8.tmp\button.png
  • %Program Files%\Common Files\haitunrili\haitunrili.ini
  • %All Users Profile%\Start Menu\Programs\????\????.url
  • %Program Files%\haitunrili\????.url
  • %All Users Profile%\Start Menu\Programs\????\????.lnk
  • %All Users Profile%\Start Menu\Programs\????\????.lnk
  • %All Users Profile%\Start Menu\Programs\????\??????.lnk
  • %User Temp%\nse8.tmp\mem.exe
  • %User Temp%\nse8.tmp\mem.dll
  • %User Temp%\service_log.txt
  • %All Users Profile%\Application Data\005410.ico
  • %User Temp%\360IniVerify.ini
  • %All Users Profile%\Desktop\ÍøÖ·µ¼º½.lnk
  • %All Users Profile%\Start Menu\Programs\ÍøÖ·µ¼º½.lnk
  • %Application Data%\Microsoft\Internet Explorer\Quick Launch\ÍøÖ·µ¼º½.lnk
  • %User Temp%\nse8.tmp\plugin.dll
  • %Favorites%\ÍøÖ·Ö®¼Ò.url
  • %Favorites%\Links\ÍøÖ·Ö®¼Ò.url
  • %Favorites%\ÃÀÅ®Ð㳡.url
  • %Favorites%\Links\ÃÀÅ®Ð㳡.url
  • %Favorites%\ÃÀÅ®ÕæÈËÐã.url
  • %Favorites%\Links\ÃÀÅ®ÕæÈËÐã.url
  • %Favorites%\ÃÀŮֱ²¥Ðã.url
  • %Favorites%\Links\ÃÀŮֱ²¥Ðã.url
  • %Favorites%\90ÃÀÅ®ÊÓƵ.url
  • %Favorites%\Links\90ÃÀÅ®ÊÓƵ.url
  • %Favorites%\ÈÈѪ´«Ææ.url
  • %Favorites%\Links\ÈÈѪ´«Ææ.url
  • %Favorites%\¸ßÊÕÒæÀí²Æ-ÅÄÅÄ´û.url
  • %Favorites%\Links\¸ßÊÕÒæÀí²Æ-ÅÄÅÄ´û.url
  • %Favorites%\1ÔªÇÀiphone6-¶á±¦´ó¿§,×îhighµÄÒ»Ôª¹ºÎïÍøÕ¾.url
  • %Favorites%\Links\1ÔªÇÀiphone6-¶á±¦´ó¿§,×îhighµÄÒ»Ôª¹ºÎïÍøÕ¾.url
  • %Favorites%\ºÚ°µÖ®ÃÅ.url
  • %Favorites%\Links\ºÚ°µÖ®ÃÅ.url
  • %Favorites%\Öйú»é²©»áÃâ·ÑË÷Ʊ.url
  • %Favorites%\Links\Öйú»é²©»áÃâ·ÑË÷Ʊ.url
  • %Favorites%\×ÏÔÆÐÇ×ùÍø.url
  • %Favorites%\Links\×ÏÔÆÐÇ×ùÍø.url
  • %Favorites%\ÿÈÕôÜÊÂ.url
  • %Favorites%\Links\ÿÈÕôÜÊÂ.url
  • %Favorites%\½ñÈÕÍ·ÌõÐÂÎÅ.url
  • %Favorites%\Links\½ñÈÕÍ·ÌõÐÂÎÅ.url
  • %Favorites%\½¡¿µÑøÉú.url
  • %Favorites%\Links\½¡¿µÑøÉú.url
  • %User Temp%\nse8.tmp\rmth.exe
  • %User Temp%\nse8.tmp\xycqby.exe
  • %User Temp%\nse8.tmp\ZipDLL.dll
  • %User Temp%\nse8.tmp\setup.conf
  • %Program Files%\xycqby\setup.conf
  • %Program Files%\xycqby\xy_lander.exe
  • %User Temp%\nse8.tmp\data.xml
  • %Application Data%\xy\cqby\Lander.ini
  • %Desktop%\XY´«Ææ°Ôҵ΢¶Ë.lnk
  • %Program Files%\haitunrili\lnkicon.ico
  • %Program Files%\haitunrili\.url
  • %Desktop%\.lnk
  • %User Temp%\nse8.tmp\rmth.exe
  • %User Temp%\nse8.tmp\bdl.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Favorites" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
htrl.exe

HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "10"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "100"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "20"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
htrl.exe
(default) = "%Program Files%\haitunrili\htrl.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
htrl.exe
Path = "%Program Files%\haitunrili"

HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili
InstallPath = "%Program Files%\haitunrili\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
DisplayName = "???? 1.2.3.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
UninstallString = "%Program Files%\haitunrili\Uninst.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
DisplayIcon = "%Program Files%\haitunrili\htrl.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
DisplayVersion = 1.2.3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
Publisher = ???

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
URLInfoAbout = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
????
InstallLocation = "%Program Files%\haitunrili\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
rlbRunByWindowsStart = ""%Program Files%\haitunrili\htrl.exe" RunDateByStartAuto"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}i.{BLOCKED}ao.com.cn/xml/LinkConfig.xml
  • http://{BLOCKED}new.{BLOCKED}t.com/xml/LinkConfig.php
  • http://{BLOCKED}n1.{BLOCKED}in.net/shichangbu/htrltj1.html?1411287d5ee
  • http://d{BLOCKED}n1.{BLOCKED}in.net/shichangbu/htrltj2.html?1411287d5ee
  • http://{BLOCKED}l.{BLOCKED}e.com/gf/360IniVerify.cab
  • http://{BLOCKED}n1.{BLOCKED}n.net/shichangbu2/icon.ico
  • http://{BLOCKED}l.{BLOCKED}e.com/gf/360ini.cab
  • http://{BLOCKED}1.{BLOCKED}n.net/shichangbu/xycqby.gif
  • http://{BLOCKED}i.{BLOCKED}ao.com.cn/xml/LinkConfig.xml
  • http://{BLOCKED}ew.{BLOCKED}t.com/xml/LinkConfig.php
  • http://{BLOCKED}i.{BLOCKED}2.net/sc/ico/toutiao.ico
  • http://www.{BLOCKED}y.com/lander/cqby2?adkey=10278&refer=xywancom&uid=cqby&version=3000&installtime=20150821&runcount=1&curtime=20150821105455&showlogintype=3®times=1
  • http://{BLOCKED}n1.{BLOCKED}n.net/shichangbu/bdimesetupstandalone.exe
  • http://{BLOCKED}c.{BLOCKED}g.net/cn/static/landers/cqby2/css/style.css?v=3
  • http://{BLOCKED}c.{BLOCKED}g.net/common/js/jquery-1.8.3.min.js
  • http://{BLOCKED} .wanyouxi7.com/xy/cqby/official/app.ini
  • http://{BLOCKED}1.{BLOCKED}n.net/shichangbu/bdimesetupstandalone.exe
  • http://{BLOCKED}1.{BLOCKED}in.net/shichangbu/bdimesetupstandalone.exe
  • http://{BLOCKED}1.{BLOCKED}n.net/shichangbu/bdimesetupstandalone.exe

  対応方法

対応検索エンジン: 9.750

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このマルウェアのパス名およびファイル名を確認します｡
最新のバージョン（エンジン、スパイウェアパターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「ADW_DOWNWARE.GF」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
    • Enable = 1
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
    • Size = 10
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
    • InitHits = 100
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
    • Factor = 20
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\htrl.exe
    • (default) = %Program Files%\haitunrili\htrl.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\htrl.exe
    • Path = %Program Files%\haitunrili
  • In HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili
    • InstallPath = %Program Files%\haitunrili\
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • DisplayName = ???? 1.2.3.0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • UninstallString = %Program Files%\haitunrili\Uninst.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • DisplayIcon = %Program Files%\haitunrili\htrl.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • DisplayVersion = 1.2.3.0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • Publisher = ????
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • URLInfoAbout
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????
    • InstallLocation = %Program Files%\haitunrili\
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • rlbRunByWindowsStart = "%Program Files%\haitunrili\htrl.exe" RunDateByStartAuto

手順 6

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\International\CpMRU
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\htrl.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\haitunrili
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\????

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「ADW_DOWNWARE.GF」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ADW_DOWNWARE.GF」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください