TROJ_UPATRE.YYSLO
Trojan-Downloader.Win32.Upatre.cjri (Kaspersky); Win32/TrojanDownloader.Waski.A (ESET-NOD32); Upatre-FACH!73AECEDFE690 (McAfee); Trojan.Upatre (Malwarebytes); Mal/Upatre-U (Sophos); W32/Waski.A!tr (Fortinet)
Windows
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、ダウンロードしたファイルを実行します。
マルウェアは、感染コンピュータから特定の情報を収集します。
マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。
- %User Temp%\cmuxamaf.exe
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
マルウェアは、以下のファイルを作成します。
- %User Temp%\tmpB7C3.inf - initially contains full malware path and filename, then it will be replaced by an encrypted data
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion
kereruthjertr456 = "1"
ダウンロード活動
マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。
- http://{BLOCKED}09.{BLOCKED}6.226.85:443/em12.png
- http://{BLOCKED}4.2{BLOCKED}0.92.193:443/em12.png
- http://{BLOCKED}76.{BLOCKED}6.251.208:443/em12.png
- http://{BLOCKED}88.{BLOCKED}55.165.154:443/em12.png
- http://{BLOCKED}73.{BLOCKED}16.240.56:443/em12.png
- http://{BLOCKED}9.1{BLOCKED}3.81.211:443/em12.png
- http://{BLOCKED}16.{BLOCKED}54.231.11:443/em12.png
- http://{BLOCKED}4.3{BLOCKED}.131.116:443/em12.png
- http://{BLOCKED}04.{BLOCKED}74.123.66:443/em12.png
- http://{BLOCKED}2.2{BLOCKED}0.82.80:443/em12.png
- http://{BLOCKED}4.2{BLOCKED}3.121.6:443/em12.png
- http://{BLOCKED}73.{BLOCKED}48.22.227:443/em12.png
- http://{BLOCKED}73.{BLOCKED}48.31.1:443/em12.png
- http://{BLOCKED}73.{BLOCKED}48.31.6:443/em12.png
- http://{BLOCKED}73.{BLOCKED}48.27.163:443/em12.png
- http://{BLOCKED}73.{BLOCKED}43.255.79:443/em12.png
- http://{BLOCKED}9.9{BLOCKED}204.114:443/em12.png
- http://{BLOCKED}3.1{BLOCKED}5.203.173:443/em12.png
- http://{BLOCKED}88.{BLOCKED}55.239.34:443/em12.png
- http://{BLOCKED}6.2{BLOCKED}.92.4:443/em12.png
- http://{BLOCKED}1.1{BLOCKED}4.36.73:443/em12.png
- http://{BLOCKED}8.2{BLOCKED}2.64.184:443/em12.png
- http://{BLOCKED}9.1{BLOCKED}4.171.44:443/em12.png
- http://{BLOCKED}5.3{BLOCKED}.236.173:443/em12.png
- http://{BLOCKED}6.1{BLOCKED}6.63.33:443/em12.png
- http://{BLOCKED}1.9{BLOCKED}.130.24:443/em12.png
- http://{BLOCKED}16.{BLOCKED}6.93.250:443/em12.png
- http://{BLOCKED}8.2{BLOCKED}6.210.27:443/em12.png
- http://{BLOCKED}6.1{BLOCKED}6.61.218:443/em12.png
- http://{BLOCKED}8.2{BLOCKED}4.11.253:443/em12.png
- http://{BLOCKED}4.1{BLOCKED}8.217.188:443/em12.png
- http://{BLOCKED}8.2{BLOCKED}9.75.164:443/em12.png
- http://{BLOCKED}6.1{BLOCKED}5.248.137:443/em12.png
- http://{BLOCKED}73.{BLOCKED}16.247.74:443/em12.png
- http://{BLOCKED}7.4{BLOCKED}.30.156:443/em12.png
- http://{BLOCKED}7.9{BLOCKED}.195.68:443/em12.png
- http://{BLOCKED}7.5{BLOCKED}.144.177:443/em12.png
- http://{BLOCKED}8.5{BLOCKED}.59.145:443/em12.png
- http://{BLOCKED}5.1{BLOCKED}3.141.50:443/em12.png
- http://{BLOCKED}88.{BLOCKED}55.243.105:443/em12.png
- http://{BLOCKED}5.1{BLOCKED}3.132.118:443/em12.png
- http://{BLOCKED}94.{BLOCKED}28.203.19:443/em12.png
- http://{BLOCKED}7.2{BLOCKED}9.142.189:443/em12.png
- http://{BLOCKED}5.1{BLOCKED}5.104.170:443/em12.png
- http://{BLOCKED}6.8{BLOCKED}.81.120:443/em12.png
- http://{BLOCKED}4.2{BLOCKED}6.161.47:443/em12.png
- http://{BLOCKED}17.{BLOCKED}68.210.122:443/em12.png
- http://{BLOCKED}1.9{BLOCKED}.175.7:443/em12.png
- http://{BLOCKED}2.2{BLOCKED}4.250.26:443/em12.png
- http://{BLOCKED}1.9{BLOCKED}.205.218:443/em12.png
- http://{BLOCKED}76.{BLOCKED}6.251.208:443/em12.png
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %User Temp%\{random}.exe - detected as TSPY_DYRE.CX
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
マルウェアは、ダウンロードしたファイルを実行します。
情報漏えい
マルウェアは、感染コンピュータから以下の情報を収集します。
- Computer Name
- OS Version
- OS Service Pack
その他
マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。
- icanhazip.com
マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。
対応方法
手順 1
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 2
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
「TROJ_UPATRE.YYSLO」を作成またはダウンロードする不正なファイルを削除します。 （註：以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。）
- TSPY_DYRE.CX
手順 4
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion
- kereruthjertr456 = "1"
- kereruthjertr456 = "1"
手順 5
以下のファイルを検索し削除します。
- %User Temp%\cmuxamaf.exe
- %User Temp%\tmpB7C3.inf
手順 6
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_UPATRE.YYSLO」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください