解析者: Christopher Daniel So   
 別名:

PWS:Win32/OnLineGames.KQ (Microsoft)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:

  • マルウェアタイプ:
    スパイウェア

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 他のマルウェアからの作成, インターネットからのダウンロード

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

  詳細

ファイルサイズ 不定
タイプ EXE, DLL
メモリ常駐 はい
発見日 2012年6月22日
ペイロード URLまたはIPアドレスに接続, 情報収集

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

  • ALYac.aye
  • AYAgent.aye
  • AYServiceNT.aye
  • NaverAgent.exe
  • Nsavsvc.npc
  • NSVMON.NPC
  • nvc.npc
  • nvcagent.npc
  • pcotp.exe
  • SkyMon.exe
  • SystemMon.exe

情報漏えい

スパイウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

  • AION GameClient (AION.bin)
  • Diablo III (Diablo III.exe)
  • Dragon Knights (dkonline.exe)
  • Dungeon & Fighter (dnf.exe)
  • FIFA Online (ff2client.exe)
  • Heroes of the Pacific (heroes.exe)
  • MapleStory (MapleStory.exe)
  • Ncsoft Lineage (lin.bin)
  • Rohan Online Game (fairyclient.exe)
  • The Exiled Realm of Arborea (TERA.exe, ExLauncher.exe)
  • Tibia Player (OTP.exe)
  • World of Warcraft (wow.exe)

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • http://{BLOCKED}fo/qaz/dnf/post.asp
  • http://{BLOCKED}fo/qaz/dnfotp/post.asp
  • http://{BLOCKED}fo/qaz/mxd/post.asp
  • http://{BLOCKED}fo/qaz/mxdotp/post.asp
  • http://{BLOCKED}fo/qaz/tian1/post.asp
  • http://{BLOCKED}fo/qaz/pm/post.asp
  • http://{BLOCKED}fo/qaz/net/post.asp
  • http://{BLOCKED}fo/qaz/hg/post.asp
  • http://{BLOCKED}fo/qaz/luoqi/post.asp
  • http://{BLOCKED}fo/qaz/tera/post.asp
  • http://{BLOCKED}kjiqa.com/666woyh/post.asp
  • http://{BLOCKED}ckjiqacom/666wowow/post.asp
  • http://{BLOCKED}fo/qaz/luohan/post.asp
  • http://{BLOCKED}fo/qaz/lieren/post.asp
  • http://{BLOCKED}fo/qaz/yongheng/post.asp
  • http://{BLOCKED}fo/qaz/dk/post.asp
  • http://{BLOCKED}ckjiqa.com/666lq/post.asp
  • http://{BLOCKED}ckjiqa.com/1sj/post.asp
  • http://{BLOCKED}fo/qaz/an3/post.asp
  • http://{BLOCKED}fo/qaz/an3otp/post.asp
  • http://{BLOCKED}ckjiqa.com/666cash/post.asp

  対応方法

対応検索エンジン: 9.200
初回 VSAPI パターンバージョン 9.210.05
初回 VSAPI パターンリリース日 2012年6月22日
VSAPI OPR パターンバージョン 9.211.00
VSAPI OPR パターンリリース日 2012年6月23日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TSPY_ONLINEG.NJL」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TSPY_ONLINEG.NJL」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 5

ファイルを元の場所に復元します。

  1. [スタート]-[ファイル名を指定して実行]を選択し、以下を入力ます。
    command /c copy  %System%\ws2helpxp.dll %System%\ws2help.dll
  2. [OK]をクリックします。
    ※上記コマンドは、半角英数字で入力する必要があります（大文字／小文字は区別されません）。


ご利用はいかがでしたか？　アンケートにご協力ください