解析者: Sammy Chua   
 別名:

TrojanDownloader:Win32/Cutwail.CB (Microsoft); Trojan-Downloader.Win32.Cutwail.vty (Kaspersky); Trojan.Win32.Wigon (Ikarus); Win32/Wigon.PH (ESET-NOD32);

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 96,512 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年10月29日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Profile%\besorxualezb.exe - copy of itself

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
besorxualezb = "%User Profile%\besorxualezb.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Cigswnyraacay

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Cigswnyraacay
Xadagygcunb = "{random hex values}"

HKEY_CURRENT_USER\Software\Cigswnyraacay
besorxualezbQelruzobxe = "{random hex values}"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://www.{BLOCKED}ark.com/
  • http://www.{BLOCKED}.cz/
  • http://www.{BLOCKED}org/
  • http://www.{BLOCKED}lock.com/
  • http://www.{BLOCKED}book.net/
  • http://www.{BLOCKED}era.com/
  • http://www.{BLOCKED}g.com/
  • http://www.{BLOCKED}ver3.com/
  • http://www.{BLOCKED}.org/
  • http://www.{BLOCKED}pak.com/
  • http://www.{BLOCKED}esi.com/
  • http://www.{BLOCKED}lhal.net/
  • http://www.{BLOCKED}um.com/
  • http://www.{BLOCKED}c.co.uk/
  • http://www.{BLOCKED}e.com/
  • http://www.{BLOCKED}.com/
  • http://www.{BLOCKED}ssib.com/
  • http://www.{BLOCKED}ols.fi/
  • http://www.{BLOCKED}s.com/
  • http://www.{BLOCKED}ig.com/
  • http://www.{BLOCKED}al.com/
  • http://www.{BLOCKED}elit.com/
  • http://www.{BLOCKED}indu.com/
  • http://www.{BLOCKED}i.pl/
  • http://www.{BLOCKED}4all.nl/
  • http://www.{BLOCKED}.net/
  • http://www.{BLOCKED}voy.com/
  • http://www.{BLOCKED}com/
  • http://www.{BLOCKED}om.es/
  • http://www.{BLOCKED}nc.org/
  • http://www.{BLOCKED}ksut.com/
  • http://www.{BLOCKED}iskor.kz/
  • http://{BLOCKED}.com/
  • http://{BLOCKED}hui.net/
  • http://{BLOCKED}i.com/
  • http://{BLOCKED}t.org/
  • http://{BLOCKED}ll.com/
  • http://{BLOCKED}p15.net/
  • http://{BLOCKED}uksut.com/
  • http://{BLOCKED}seil.com/
  • http://{BLOCKED}raha.cz/
  • http://{BLOCKED}88.com/
  • http://{BLOCKED}spel.com/
  • http://{BLOCKED}org.eg/
  • http://{BLOCKED}loc.com/
  • http://{BLOCKED}sa.net/
  • http://{BLOCKED}atex.com/
  • http://{BLOCKED}os-sa.gr/
  • http://{BLOCKED}co.id/
  • http://{BLOCKED}pope.biz/
  • http://{BLOCKED}inox.es/
  • http://{BLOCKED}e.com/
  • http://{BLOCKED}ifor.com/
  • http://{BLOCKED}.at/
  • http://{BLOCKED}ph.org/
  • http://{BLOCKED}ko.net/
  • http://{BLOCKED}x.com/
  • http://{BLOCKED}.org.au/
  • http://{BLOCKED}hun.com/
  • http://{BLOCKED}uk.org/
  • http://{BLOCKED}-sk.ca/
  • http://{BLOCKED}com.sa/
  • http://{BLOCKED}win.com/
  • http://{BLOCKED}.hu/
  • http://{BLOCKED}.ws/
  • http://{BLOCKED}ari.com/
  • http://{BLOCKED}tyle.com/
  • http://{BLOCKED}in.com/
  • http://{BLOCKED}e.org/
  • http://{BLOCKED}do.com/
  • http://{BLOCKED}inst.com/
  • http://{BLOCKED}t.com.tw/
  • http://{BLOCKED}.com.ph/
  • http://{BLOCKED}tner.ru/
  • http://{BLOCKED}sil.com/
  • http://{BLOCKED}ore.com/
  • http://{BLOCKED}lfix.com/
  • http://{BLOCKED}en.com/
  • http://{BLOCKED}i.org/
  • http://{BLOCKED}inc.com/
  • http://{BLOCKED}o.ru/
  • http://{BLOCKED}sc.com/
  • http://{BLOCKED}rden.com/
  • http://{BLOCKED}ma.com/
  • http://{BLOCKED}edit.fr/
  • http://{BLOCKED}b.com/
  • http://{BLOCKED}roup.com/
  • http://{BLOCKED}down.com/
  • http://{BLOCKED}l.org/
  • http://{BLOCKED}onir.com/
  • http://{BLOCKED}o.com/
  • http://{BLOCKED}oviny.cz/
  • http://{BLOCKED}jog.net/
  • http://{BLOCKED}ars.com/
  • http://{BLOCKED}.de/
  • http://{BLOCKED}cz/
  • http://{BLOCKED}set.net/
  • http://{BLOCKED}ita.net/
  • http://{BLOCKED}gen.com/
  • http://{BLOCKED}i.com/
  • http://{BLOCKED}ke.net/
  • http://{BLOCKED}-ews.com/
  • http://{BLOCKED}in.net/
  • http://{BLOCKED}30ty.com/
  • http://{BLOCKED}at.com/
  • http://{BLOCKED}bile.com/
  • http://{BLOCKED}eo.com/
  • http://{BLOCKED}g.com/
  • http://{BLOCKED}jp.com/
  • http://{BLOCKED}.com/
  • http://{BLOCKED}l.com/
  • http://{BLOCKED}wcc.com/
  • http://{BLOCKED}rat.com/
  • http://{BLOCKED}ozo.ru/
  • http://{BLOCKED}-l.com/
  • http://{BLOCKED}h-me.com/
  • http://{BLOCKED}att.com/
  • http://{BLOCKED}els.com/
  • http://{BLOCKED}-ai.com/
  • http://{BLOCKED}host.com/
  • http://{BLOCKED}net.com/
  • http://{BLOCKED}tech.pl/
  • http://{BLOCKED}ctus.pl/
  • http://{BLOCKED}.org/
  • http://{BLOCKED}an.com/
  • http://{BLOCKED}lyon.org/
  • http://{BLOCKED}s.com/
  • http://{BLOCKED}-gr.ch/
  • http://{BLOCKED}kko.com/
  • http://{BLOCKED}el.com/
  • http://{BLOCKED}tal.at/
  • http://{BLOCKED}la.fr/
  • http://{BLOCKED}y.com.pl/
  • http://{BLOCKED}am.com/
  • http://{BLOCKED}aiba.com/
  • http://{BLOCKED}t.net/
  • http://{BLOCKED}.net/
  • http://{BLOCKED}ergo.ru/
  • http://{BLOCKED}den.com/
  • http://{BLOCKED}avto.ru/
  • http://{BLOCKED}nara.com/
  • http://{BLOCKED}c.com/
  • http://{BLOCKED}ngds.com/
  • http://{BLOCKED}c.co.uk/
  • http://{BLOCKED}el.co.jp/
  • http://{BLOCKED}r.com/
  • http://{BLOCKED}a.cz/
  • http://{BLOCKED}memo.com/
  • http://{BLOCKED}urope.nl/
  • http://{BLOCKED}iana.org/
  • http://{BLOCKED}p.com/
  • http://{BLOCKED}sh3.com/
  • http://{BLOCKED}han.com/
  • http://{BLOCKED}pas.com/
  • http://{BLOCKED}opp.net/
  • http://{BLOCKED}lock.com/
  • http://{BLOCKED}wis.com/
  • http://{BLOCKED}.co.uk/
  • http://{BLOCKED}le.pl/
  • http://{BLOCKED}linx.org/
  • http://{BLOCKED}esse.be/
  • http://{BLOCKED}s.ru/
  • http://{BLOCKED}.com/
  • http://{BLOCKED}at.com/
  • http://{BLOCKED}h.ca/
  • http://{BLOCKED}himo.com/
  • http://{BLOCKED}da.com/
  • http://{BLOCKED}ranj.com/
  • http://{BLOCKED}r.org/
  • http://{BLOCKED}.net/
  • http://{BLOCKED}ys.co.uk/
  • http://{BLOCKED}.com/
  • http://{BLOCKED}ex.com/
  • http://{BLOCKED}ke.ua/
  • http://{BLOCKED}ook.com/
  • http://{BLOCKED}occd.org/
  • http://{BLOCKED}ich.de/
  • http://{BLOCKED}iga.com/
  • http://{BLOCKED}rector.gvt1.com/edgedl/chrome/win/46.0.2490.80_45.0.2454.99_chrome_updater.exe
  • http://{BLOCKED}ntl.org/
  • http://{BLOCKED}ldia.net/
  • http://{BLOCKED}.org/
  • http://{BLOCKED}er.de/
  • http://{BLOCKED}ron.com/
  • http://{BLOCKED}sey.com/
  • http://{BLOCKED}e.com/
  • http://{BLOCKED}com/
  • http://{BLOCKED}v.ro/
  • http://{BLOCKED}otek.net/
  • http://{BLOCKED}tel.com/
  • http://{BLOCKED}k.com/
  • http://{BLOCKED}home.pl/
  • http://{BLOCKED}ks.co.uk/
  • http://{BLOCKED}hgts.net/
  • http://{BLOCKED}fit.com/
  • http://{BLOCKED}er.com/
  • http://{BLOCKED}tas.com/
  • http://{BLOCKED}eble.com/
  • http://{BLOCKED}m.ru/
  • http://{BLOCKED}path.com/
  • http://{BLOCKED}tar.com/
  • http://{BLOCKED}gann.com/
  • http://{BLOCKED}w.com/
  • http://{BLOCKED}.ru/
  • http://{BLOCKED}earl.com/
  • http://{BLOCKED}sport.ru/
  • http://{BLOCKED}it/
  • http://{BLOCKED}izer.com/
  • http://{BLOCKED}wan.net/
  • http://{BLOCKED}ikan.com/
  • http://{BLOCKED}les.net/
  • http://{BLOCKED}ugus.nl/
  • http://{BLOCKED}ark.org/
  • http://{BLOCKED}ssen.net/
  • http://{BLOCKED}oil.com/
  • http://{BLOCKED}hfam.ca/
  • http://{BLOCKED}do.net/
  • http://{BLOCKED}hin.com/
  • http://{BLOCKED}.edu.ag/
  • http://{BLOCKED}bax.org/
  • http://{BLOCKED}r.am/
  • http://{BLOCKED}us.jp/
  • http://{BLOCKED}i.it/
  • http://{BLOCKED}ig.com/
  • http://{BLOCKED}r.com/
  • http://{BLOCKED}elit.com/
  • http://{BLOCKED}erty.com/
  • http://{BLOCKED}ndia.com/
  • http://{BLOCKED}stay.com/
  • http://{BLOCKED}a.com/
  • http://{BLOCKED}apc.net/
  • http://{BLOCKED}york.com/
  • http://{BLOCKED}vant.com/
  • http://{BLOCKED}ays.com/
  • http://{BLOCKED}.org/
  • http://{BLOCKED}fkran.de/
  • http://{BLOCKED}plus.hu/
  • http://www.{BLOCKED}chi.net/
  • http://www.{BLOCKED}nt.com/
  • http://www.{BLOCKED}t.pl/
  • http://www.{BLOCKED}.com/
  • http://www.{BLOCKED}a.com/
  • http://www.{BLOCKED}or.cl/
  • http://www.{BLOCKED}aku.com/
  • http://www.{BLOCKED}.com/
  • http://www.{BLOCKED}cpa.com/
  • http://www.{BLOCKED}coko.com/
  • http://www.{BLOCKED}sit.com/
  • http://www.{BLOCKED}i.org/
  • http://www.{BLOCKED}o.edu.pl/
  • http://www.{BLOCKED}o.com/
  • http://www.{BLOCKED}lo.com/
  • http://www.{BLOCKED}a.com/
  • http://www.{BLOCKED}n.com/
  • http://www.{BLOCKED}art.hu/
  • http://www.{BLOCKED}o.si/
  • http://www.{BLOCKED}a.com/
  • http://www.{BLOCKED}live.com/
  • http://www.{BLOCKED}vt.org/
  • http://www.{BLOCKED}auer.de/
  • http://www.{BLOCKED}bc.com/
  • http://www.{BLOCKED}.com/
  • http://www.{BLOCKED}s.org/
  • http://www.{BLOCKED}us/
  • http://www.{BLOCKED}at.com/
  • http://www.{BLOCKED}ink.com/
  • http://www.{BLOCKED}net/
  • http://www.{BLOCKED}er.hu/
  • http://www.{BLOCKED}irt.com/
  • http://www.{BLOCKED}-pr.com/
  • http://www.{BLOCKED}mfg.com/
  • http://www.{BLOCKED}sk.com/
  • http://www.{BLOCKED}o.co.uk/
  • http://www.{BLOCKED}.net/
  • http://www.{BLOCKED}o-me.com/
  • http://www.{BLOCKED}safe.com/
  • http://www.{BLOCKED}.net/
  • http://www.{BLOCKED}k.com/
  • http://www.{BLOCKED}raxx.com/
  • http://www.{BLOCKED}us.si/
  • http://www.{BLOCKED}lnic.net/
  • http://www.{BLOCKED}com.br/
  • http://www.{BLOCKED}pcb.com/
  • http://www.{BLOCKED}-a.com/
  • http://www.{BLOCKED}pak.nl/
  • http://www.{BLOCKED}r.com/
  • http://www.{BLOCKED}.com/
  • http://www.{BLOCKED}mira.com/
  • http://www.{BLOCKED}s.com/
  • http://www.{BLOCKED}ito.com/
  • http://www.{BLOCKED}ecnet.jp/
  • http://www.{BLOCKED}a.com/
  • http://www.{BLOCKED}spm.com/
  • http://www.{BLOCKED}orts.ca/
  • http://www.{BLOCKED}ames.com/
  • http://www.{BLOCKED}ate.com/
  • http://www.{BLOCKED}omes.com/
  • http://www.{BLOCKED}fan.com/
  • http://www.{BLOCKED}o4b.com/
  • http://www.{BLOCKED}food.com/

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.118.04
初回 VSAPI パターンリリース日 2015年10月29日
VSAPI OPR パターンバージョン 12.119.00
VSAPI OPR パターンリリース日 2015年10月30日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • besorxualezb = "%User Profile%\besorxualezb.exe"
  • In HKEY_CURRENT_USER\Software\Cigswnyraacay
    • Xadagygcunb = "{random hex values}"
  • In HKEY_CURRENT_USER\Software\Cigswnyraacay
    • besorxualezbQelruzobxe = "{random hex values}"

手順 5

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software
    • Cigswnyraacay

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Profile%\besorxualezb.exe

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_WIGON.IC」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください