Backdoor.MSIL.REMCOS.APG

2020年3月23日

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 244,736 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年3月23日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

"powershell" Get-MpPreference -verbose
schtasks.exe /Create /TN "Updates\VrajlR" /XML "%User Temp%\tmpEC7F.tmp"
%Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe "{path}"
%System%\DllHost.exe /Processid:{AB8902B4-09CA-4BB6-B78D-A8F59079A8D5}
%System%\svchost.exe -k LocalServiceAndNoImpersonation
%System%\svchost.exe -k LocalServiceNetworkRestricted
"%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のフォルダを作成します。

%AppDataLocal%\Microsoft\Windows\Explorer
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

%Windows%\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
%Windows%\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows Defender\Features
TamperProtection = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableScanOnRealtimeEnable = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
UPnP Device Host\HTTP Server\VROOTS\
/upnphost
(Default) = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = "41"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Reliability
LastAliveStamp = "\xd0\xba\xad\x0b"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
cval = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiSpywareOverride = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}
Dhcpv6State = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
cval = "1"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\IDE\CdRomNECVMWar_VMware_IDE_CDR10_______________1.00____\
5&3a794e10&0&1.0.0\CustomPropertyHwIdKey

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\PCIIDE\IDEChannel\
4&c5d1198&0&1\CustomPropertyHwIdKey

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\PCI\VEN_1000&DEV_0054&SUBSYS_197615AD&REV_01\
4&1F16FEF7&0&00A8\CustomPropertyHwIdKey

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Reliability\
LastAliveStamp

HKEY_LOCAL_MACHINE\DhcpNodeType

HKEY_LOCAL_MACHINE\DhcpScopeID

HKEY_LOCAL_MACHINE\DhcpNameServerList

HKEY_LOCAL_MACHINE\DhcpNetbiosOptions

HKEY_LOCAL_MACHINE\DhcpNameServer

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6ClassIdBin

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpClassIdBin

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
DhcpNameServer

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpNameServer

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
DhcpDomain

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpDomain

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\NetBT\Parameters\
Interfaces\Tcpip_{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpNameServerList

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpSubnetMaskOpt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpDefaultGateway

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\NetBT\Parameters\
DhcpScopeID

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\NetBT\Parameters\
Interfaces\Tcpip_{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpNetbiosOptions

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Tcpip\Parameters\
Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}\DhcpInterfaceOptions

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\DhcpUseUTF8

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6MaxLeaseExpireTime

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6UseInfoRequest

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6ServerPreference

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IsUnicastEnabled

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6ReleaseOnShutdown

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6LeaseObtainedTime

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IanaLeases

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IataLeases

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6ServerDUID

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IanaAddr

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IataAddr

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6T1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6T2

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IanaIaids

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\TCPIP6\Parameters\
Interfaces\{{GUID}}\Dhcpv6IataIaids

作成活動

マルウェアは、以下のファイルを作成します。

%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost\udhisapi.dll
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_32.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_256.db
%Application Data%\VrajlR.exe
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_idx.db
%AppDataLocal%\GDIPFONTCACHEV1.DAT
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_96.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_1024.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_sr.db

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

このウイルス情報は、自動解析システムにより作成されました。

対応方法

対応検索エンジン: 9.850

手順 1

Windows XP、Windows Vista 、Windows 7、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「Backdoor.MSIL.REMCOS.APG」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Features
- TamperProtection = "0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
- DisableAntiSpyware = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
- DisableBehaviorMonitoring = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
- DisableOnAccessProtection = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
- DisableScanOnRealtimeEnable = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\UPnP Device Host\HTTP Server\VROOTS\/upnphost
- (Default) = "{random characters}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
- GlobalAssocChangedCounter = "41"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability
- LastAliveStamp = "\xd0\xba\xad\x0b"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- cval = "0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
- AntiVirusOverride = "0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
- AntiSpywareOverride = "0"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
- FirewallOverride = "0"

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6State = "1"

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- cval = "1"

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起動します。
- Windows 2000、XP および Server 2003 の場合：
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
- Windows Vista、7、Server 2008 の場合：
  [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Wow6432Node>Microsoft>Windows Defender>Features
右側のパネルで以下のレジストリ値を検索し、削除します。
TamperProtection = "0"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows Defender
右側のパネルで以下のレジストリ値を検索し、削除します。
DisableAntiSpyware = "1"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows Defender>Real-Time Protection
右側のパネルで以下のレジストリ値を検索し、削除します。
DisableBehaviorMonitoring = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
DisableOnAccessProtection = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
DisableScanOnRealtimeEnable = "1"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>UPnP Device Host>HTTP Server>VROOTS>/upnphost
右側のパネルで以下のレジストリ値を検索し、削除します。
(Default) = "{random characters}"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer
右側のパネルで以下のレジストリ値を検索し、削除します。
GlobalAssocChangedCounter = "41"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Reliability
右側のパネルで以下のレジストリ値を検索し、削除します。
LastAliveStamp = "\xd0\xba\xad\x0b"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
右側のパネルで以下のレジストリ値を検索し、削除します。
cval = "0"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center>Svc
右側のパネルで以下のレジストリ値を検索し、削除します。
AntiVirusOverride = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
AntiSpywareOverride = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
FirewallOverride = "0"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>services>TCPIP6>Parameters>Interfaces>{{GUID}}
右側のパネルで以下のレジストリ値を検索し、削除します。
Dhcpv6State = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
cval = "1"
「レジストリエディタ」を閉じます。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost\udhisapi.dll
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_32.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_256.db
%Application Data%\VrajlR.exe
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_idx.db
%AppDataLocal%\GDIPFONTCACHEV1.DAT
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_96.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_1024.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_sr.db

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost\udhisapi.dll
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_32.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_256.db
%Application Data%\VrajlR.exe
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_idx.db
%AppDataLocal%\GDIPFONTCACHEV1.DAT
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_96.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_1024.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_sr.db
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost\udhisapi.dll
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_32.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_256.db
%Application Data%\VrajlR.exe
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_idx.db
%AppDataLocal%\GDIPFONTCACHEV1.DAT
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_96.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_1024.db
%AppDataLocal%\Microsoft\Windows\Explorer\thumbcache_sr.db
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%AppDataLocal%\Microsoft\Windows\Explorer
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft

このマルウェアまたはアドウェア等が作成したフォルダの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
%AppDataLocal%\Microsoft\Windows\Explorer
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 4.）を繰り返してください。
%AppDataLocal%\Microsoft\Windows\Explorer
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft

註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%AppDataLocal%\Microsoft\Windows\Explorer
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft
検索が終了したら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 3.）を繰り返してください。
%AppDataLocal%\Microsoft\Windows\Explorer
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host
%Windows%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft

註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Backdoor.MSIL.REMCOS.APG」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

%Windows%\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
%Windows%\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat

手順 8

以下の削除されたレジストリキーまたはレジストリ値をバックアップを用いて修復します。

※註：マイクロソフト製品に関連したレジストリキーおよびレジストリ値のみが修復されます。このマルウェアもしくはアドウェア等が同社製品以外のプログラムも削除した場合には、該当プログラムを再度インストールする必要があります。

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\IDE\CdRomNECVMWar_VMware_IDE_CDR10_______________1.00____\5&3a794e10&0&1.0.0
- CustomPropertyHwIdKey

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\PCIIDE\IDEChannel\4&c5d1198&0&1
- CustomPropertyHwIdKey

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\PCI\VEN_1000&DEV_0054&SUBSYS_197615AD&REV_01\4&1F16FEF7&0&00A8
- CustomPropertyHwIdKey

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability
- LastAliveStamp

In HKEY_LOCAL_MACHINE
- DhcpNodeType

In HKEY_LOCAL_MACHINE
- DhcpScopeID

In HKEY_LOCAL_MACHINE
- DhcpNameServerList

In HKEY_LOCAL_MACHINE
- DhcpNetbiosOptions

In HKEY_LOCAL_MACHINE
- DhcpNameServer

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6ClassIdBin

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpClassIdBin

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters
- DhcpNameServer

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpNameServer

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters
- DhcpDomain

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpDomain

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\NetBT\Parameters\Interfaces\Tcpip_{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpNameServerList

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpSubnetMaskOpt

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpDefaultGateway

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\NetBT\Parameters
- DhcpScopeID

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\NetBT\Parameters\Interfaces\Tcpip_{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpNetbiosOptions

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\Tcpip\Parameters\Interfaces\{89BCDCB3-5725-45A2-94AB-2D6B641209B0}
- DhcpInterfaceOptions

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- DhcpUseUTF8

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6MaxLeaseExpireTime

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6UseInfoRequest

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6ServerPreference

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IsUnicastEnabled

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6ReleaseOnShutdown

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6LeaseObtainedTime

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IanaLeases

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IataLeases

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6ServerDUID

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IanaAddr

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IataAddr

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6T1

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6T2

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IanaIaids

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\TCPIP6\Parameters\Interfaces\{{GUID}}
- Dhcpv6IataIaids

ご利用はいかがでしたか？　アンケートにご協力ください

Backdoor.MSIL.REMCOS.APG

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

Backdoor.MSIL.REMCOS.APG

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

The Americas

Asia Pacific

Europe, Middle East & Africa