別名:

Trojan:Win32/Skeeyah.A!rfn (Microsoft); Trojan-CoinMiner (McAfee); Trojan.Gen.MBT (Symantec); HEUR:Trojan.Win32.Generic (Kaspersky); Troj/Vools-W (Sophos); Trojan.Win32.Generic!BT (Sunbelt)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 6,888,860 bytes
タイプ EXE
メモリ常駐 はい
発見日 2019年8月26日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

  • cmd.exe /c ping 127.0.0.1 -n 5 & cmd.exe /c del /a /f "%User Temp%\0608f9b9e8f63c2ff193ef93f802bb010011d747.exe"
  • %System%\svchost.exe -k netsvcs
  • %System%\schtasks.exe /End /TN "\Microsoft\Windows\UPnP\RpcPolicyHost"
  • %System%\schtasks.exe /Delete /TN "\Microsoft\Windows\UPnP\RpcPolicyHost" /F
  • %System%\wuauclt.exe
  • %System%\PING.EXE ping 127.0.0.1 -n 5

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

  • %Windows%\NetworkDistribution

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\FunctionTimeUPnPHost
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\FunctionTimeUPnPHost\Parameters

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %System%\ServicesMgrHost.exe
  • %System%\NdfPresentationView.msc
  • %Windows%\RemoteDistribution\Microsoft\spoolsv.exe
  • %System%\Tasks\Microsoft\Windows\UPnP\RpcPolicyHost
  • %System%\RpcPolicyMgr.dll
  • %Windows%\RemoteDistribution\spoolsv.exe
  • %Windows%\RemoteDistribution\Microsoft\svchost.exe
  • %System%\TaskIndexer.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\NetworkPlatform\
Location

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\NetworkPlatform\
Location
LastBackup = "{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\FunctionTimeUPnPHost
Description = "{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\FunctionTimeUPnPHost\Parameters
ServiceDll = "%System%\FunctionTimeUPnPHost.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\NetworkPlatform\
Location
IPC = "IPC"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\FunctionTimeUPnPHost
Type = "288"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\FunctionTimeUPnPHost
DisplayName = "Function TimeUPnP Host"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\FunctionTimeUPnPHost
Start = "SERVICE_AUTO_START"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Svchost
netsvcs = "{random characters}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

  • %Windows%\NetworkDistribution\cnli-1.dll
  • %System Root%\t1v0.1
  • %Windows%\NetworkDistribution\riar.dll
  • %Windows%\NetworkDistribution\tibe-2.dll
  • %System Root%\t1v0.d
  • %Windows%\NetworkDistribution\iconv.dll
  • %System%\dllhostex.exe
  • %System%\WUDHostServices.exe
  • %Windows%\NetworkDistribution\tibe.dll
  • %Windows%\NetworkDistribution\trfo-0.dll
  • %System Root%\t1v0.4
  • %Windows%\NetworkDistribution\libxml2.dll
  • %Windows%\NetworkDistribution\etebCore-2.x86.dll
  • %System%\text.log
  • %Windows%\NetworkDistribution\etchCore-0.x64.dll
  • %Windows%\NetworkDistribution\Diagnostics.txt
  • %System Root%\t1v0.c
  • %System%\msvcesl.nls
  • %Windows%\NetworkDistribution\trch-0.dll
  • %Windows%\NetworkDistribution\xdvl-0.dll
  • %Windows%\NetworkDistribution\Eternalblue-2.2.0.fb
  • %Windows%\NetworkDistribution\pytrch.pyc
  • %Windows%\NetworkDistribution\zibe.dll
  • %Windows%\NetworkDistribution\libcurl.dll
  • %Windows%\NetworkDistribution\pcrecpp-0.dll
  • %Windows%\NetworkDistribution\crli-0.dll
  • %Windows%\NetworkDistribution\riar-2.dll
  • %Windows%\NetworkDistribution\tucl-1.dll
  • %System Root%\t1v0.5
  • %System Root%\t1v0.f
  • %Windows%\NetworkDistribution\libiconv-2.dll
  • %Windows%\NetworkDistribution\trch.dll
  • %Windows%\NetworkDistribution\adfw-2.dll
  • %Windows%\NetworkDistribution\trch-1.dll
  • %System Root%\t1v0.2
  • %Windows%\NetworkDistribution\dmgd-4.dll
  • %Windows%\NetworkDistribution\tibe-1.dll
  • %Windows%\NetworkDistribution\spoolsv.xml
  • %Windows%\NetworkDistribution\etebCore-2.x64.dll
  • %Windows%\NetworkDistribution\Eternalchampion-2.0.0.fb
  • %System Root%\t1v0.b
  • %Windows%\NetworkDistribution\pcreposix-0.dll
  • %Windows%\NetworkDistribution\exma-1.dll
  • %Windows%\NetworkDistribution\posh.dll
  • %System Root%\t1v0.6
  • %Windows%\NetworkDistribution\dmgd-1.dll
  • %Windows%\NetworkDistribution\coli-0.dll
  • %Windows%\NetworkDistribution\adfw.dll
  • %System%\FunctionTimeUPnPHost.dll
  • %System Root%\t1v0.9
  • %Windows%\NetworkDistribution\_pytrch.pyd
  • %Windows%\NetworkDistribution\tucl.dll
  • %System Root%\t1v0.3
  • %System Root%\t1v0.7
  • %Windows%\NetworkDistribution\eteb-2.dll
  • %Windows%\NetworkDistribution\libeay32.dll
  • %System%\mkz.output
  • %Windows%\NetworkDistribution\x86.dll
  • %Windows%\NetworkDistribution\exma.dll
  • %Windows%\NetworkDistribution\zlib1.dll
  • %Windows%\NetworkDistribution\esco-0.dll
  • %Windows%\NetworkDistribution\posh-0.dll
  • %Windows%\NetworkDistribution\svchost.exe
  • %Windows%\NetworkDistribution\spoolsv.exe
  • %Windows%\NetworkDistribution\out.dll
  • %System Root%\t1v0.e
  • %System Root%\t1v0
  • %Windows%\NetworkDistribution\cnli-0.dll
  • %System Root%\t1v0.8
  • %Windows%\NetworkDistribution\trfo.dll
  • %Windows%\NetworkDistribution\etch-0.dll
  • %Windows%\NetworkDistribution\ucl.dll
  • %Windows%\NetworkDistribution\svchost.xml
  • %Windows%\NetworkDistribution\trfo-2.dll
  • %Windows%\NetworkDistribution\x64.dll
  • %System Root%\t1v0.a
  • %Windows%\NetworkDistribution\etchCore-0.x86.dll
  • %Windows%\NetworkDistribution\pcla-0.dll
  • %Windows%\NetworkDistribution\ssleay32.dll
  • %Windows%\NetworkDistribution\pytrch.py
  • %Windows%\NetworkDistribution\pcre-0.dll

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://log.{BLOCKED}e.com
  • http://bk.{BLOCKED}ne.com
  • http://back.{BLOCKED}ne.com
  • http://bk.{BLOCKED}blue.com
  • http://bk.{BLOCKED}e.com
  • http://pool.{BLOCKED}e.com

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.850

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

「Trojan.Win32.VOOLS.AP」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FunctionTimeUPnPHost
    • Parameters
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\NetworkPlatform
    • Location

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkPlatform\Location
    • LastBackup = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\FunctionTimeUPnPHost
    • Description = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\FunctionTimeUPnPHost\Parameters
    • ServiceDll = "%System%\FunctionTimeUPnPHost.dll"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkPlatform\Location
    • IPC = "IPC"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\FunctionTimeUPnPHost
    • Type = "288"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FunctionTimeUPnPHost
    • DisplayName = "Function TimeUPnP Host"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FunctionTimeUPnPHost
    • Start = "SERVICE_AUTO_START"

手順 6

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
    • From: netsvcs = "{random characters}"
      To: netsvcs = ""{random values}""

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\NetworkDistribution\cnli-1.dll
  • %System Root%\t1v0.1
  • %Windows%\NetworkDistribution\riar.dll
  • %Windows%\NetworkDistribution\tibe-2.dll
  • %System Root%\t1v0.d
  • %Windows%\NetworkDistribution\iconv.dll
  • %System%\dllhostex.exe
  • %System%\WUDHostServices.exe
  • %Windows%\NetworkDistribution\tibe.dll
  • %Windows%\NetworkDistribution\trfo-0.dll
  • %System Root%\t1v0.4
  • %Windows%\NetworkDistribution\libxml2.dll
  • %Windows%\NetworkDistribution\etebCore-2.x86.dll
  • %System%\text.log
  • %Windows%\NetworkDistribution\etchCore-0.x64.dll
  • %Windows%\NetworkDistribution\Diagnostics.txt
  • %System Root%\t1v0.c
  • %System%\msvcesl.nls
  • %Windows%\NetworkDistribution\trch-0.dll
  • %Windows%\NetworkDistribution\xdvl-0.dll
  • %Windows%\NetworkDistribution\Eternalblue-2.2.0.fb
  • %Windows%\NetworkDistribution\pytrch.pyc
  • %Windows%\NetworkDistribution\zibe.dll
  • %Windows%\NetworkDistribution\libcurl.dll
  • %Windows%\NetworkDistribution\pcrecpp-0.dll
  • %Windows%\NetworkDistribution\crli-0.dll
  • %Windows%\NetworkDistribution\riar-2.dll
  • %Windows%\NetworkDistribution\tucl-1.dll
  • %System Root%\t1v0.5
  • %System Root%\t1v0.f
  • %Windows%\NetworkDistribution\libiconv-2.dll
  • %Windows%\NetworkDistribution\trch.dll
  • %Windows%\NetworkDistribution\adfw-2.dll
  • %Windows%\NetworkDistribution\trch-1.dll
  • %System Root%\t1v0.2
  • %Windows%\NetworkDistribution\dmgd-4.dll
  • %Windows%\NetworkDistribution\tibe-1.dll
  • %Windows%\NetworkDistribution\spoolsv.xml
  • %Windows%\NetworkDistribution\etebCore-2.x64.dll
  • %Windows%\NetworkDistribution\Eternalchampion-2.0.0.fb
  • %System Root%\t1v0.b
  • %Windows%\NetworkDistribution\pcreposix-0.dll
  • %Windows%\NetworkDistribution\exma-1.dll
  • %Windows%\NetworkDistribution\posh.dll
  • %System Root%\t1v0.6
  • %Windows%\NetworkDistribution\dmgd-1.dll
  • %Windows%\NetworkDistribution\coli-0.dll
  • %Windows%\NetworkDistribution\adfw.dll
  • %System%\FunctionTimeUPnPHost.dll
  • %System Root%\t1v0.9
  • %Windows%\NetworkDistribution\_pytrch.pyd
  • %Windows%\NetworkDistribution\tucl.dll
  • %System Root%\t1v0.3
  • %System Root%\t1v0.7
  • %Windows%\NetworkDistribution\eteb-2.dll
  • %Windows%\NetworkDistribution\libeay32.dll
  • %System%\mkz.output
  • %Windows%\NetworkDistribution\x86.dll
  • %Windows%\NetworkDistribution\exma.dll
  • %Windows%\NetworkDistribution\zlib1.dll
  • %Windows%\NetworkDistribution\esco-0.dll
  • %Windows%\NetworkDistribution\posh-0.dll
  • %Windows%\NetworkDistribution\svchost.exe
  • %Windows%\NetworkDistribution\spoolsv.exe
  • %Windows%\NetworkDistribution\out.dll
  • %System Root%\t1v0.e
  • %System Root%\t1v0
  • %Windows%\NetworkDistribution\cnli-0.dll
  • %System Root%\t1v0.8
  • %Windows%\NetworkDistribution\trfo.dll
  • %Windows%\NetworkDistribution\etch-0.dll
  • %Windows%\NetworkDistribution\ucl.dll
  • %Windows%\NetworkDistribution\svchost.xml
  • %Windows%\NetworkDistribution\trfo-2.dll
  • %Windows%\NetworkDistribution\x64.dll
  • %System Root%\t1v0.a
  • %Windows%\NetworkDistribution\etchCore-0.x86.dll
  • %Windows%\NetworkDistribution\pcla-0.dll
  • %Windows%\NetworkDistribution\ssleay32.dll
  • %Windows%\NetworkDistribution\pytrch.py
  • %Windows%\NetworkDistribution\pcre-0.dll

手順 8

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\NetworkDistribution

手順 9

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Trojan.Win32.VOOLS.AP」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 10

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %System%\ServicesMgrHost.exe
  • %System%\NdfPresentationView.msc
  • %Windows%\RemoteDistribution\Microsoft\spoolsv.exe
  • %System%\Tasks\Microsoft\Windows\UPnP\RpcPolicyHost
  • %System%\RpcPolicyMgr.dll
  • %Windows%\RemoteDistribution\spoolsv.exe
  • %Windows%\RemoteDistribution\Microsoft\svchost.exe
  • %System%\TaskIndexer.exe


ご利用はいかがでしたか？　アンケートにご協力ください