プラットフォーム:

Windows

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:

  • マルウェアタイプ:
    スパイウェア

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 414,244 bytes
タイプ EXE
メモリ常駐 なし
発見日 2015年9月11日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

  • %Application Data%\ynofi

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION

HKEY_CURRENT_USER\Software\51e5db588f

HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = "22b8"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = "22b8"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = "22b8"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = "22b8"

HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
36fb3192 = "{random characters}"

HKEY_CURRENT_USER\Software\51e5db588f
36fb3192 = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
86bd5df9 = "864"

HKEY_CURRENT_USER\Software\51e5db588f
86bd5df9 = "864"

HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
fc7e257e = "B8DE7A1E259E9FD1"

HKEY_CURRENT_USER\Software\51e5db588f
fc7e257e = "B8DE7A1E259E9FD1"

HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
93c89353 = "1440687122"

HKEY_CURRENT_USER\Software\51e5db588f
93c89353 = "1440687122"

HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
f0fc8a30 = "%Application Data%\ynofi\ynofi.exe"

HKEY_CURRENT_USER\Software\51e5db588f
f0fc8a30 = "%Application Data%\ynofi\ynofi.exe"

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1206 = "0"

(註：変更前の上記レジストリ値は、「3」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2300 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1809 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1206 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
2300 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1809 = "3"

(註：変更前の上記レジストリ値は、「3」となります。)

スパイウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE

作成活動

スパイウェアは、以下のファイルを作成します。

  • %Application Data%\ynofi\ynofi.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}.67.5
  • {BLOCKED}.41.136
  • {BLOCKED}2.169.83
  • {BLOCKED}.200.81
  • {BLOCKED}7.54.122
  • {BLOCKED}5.237
  • {BLOCKED}1.253.82
  • {BLOCKED}8.125.176
  • {BLOCKED}2.12.233
  • {BLOCKED}.21.156
  • {BLOCKED}0.237.27
  • {BLOCKED}.106.41
  • {BLOCKED}.132.62
  • {BLOCKED}5.249
  • {BLOCKED}2.151
  • {BLOCKED}6.105.187
  • {BLOCKED}5.161.150
  • {BLOCKED}149.227
  • {BLOCKED}25.169
  • {BLOCKED}.32.82
  • {BLOCKED}6.148.123
  • {BLOCKED}76.188
  • {BLOCKED}.162.86
  • {BLOCKED}2.228.252
  • {BLOCKED}115.180
  • {BLOCKED}2.154.254
  • {BLOCKED}.68.116
  • {BLOCKED}.248.177
  • {BLOCKED}.42.52
  • {BLOCKED}9.197.105
  • {BLOCKED}.46.76
  • {BLOCKED}.209.189
  • {BLOCKED}5.23.83
  • {BLOCKED}5.55.44
  • {BLOCKED}30.233
  • {BLOCKED}2.207.56
  • {BLOCKED}3.138.121
  • {BLOCKED}5.240.254
  • {BLOCKED}.70.196
  • {BLOCKED}255.31
  • {BLOCKED}.47.66
  • {BLOCKED}.172.163
  • {BLOCKED}134.31
  • {BLOCKED}6.135.208
  • {BLOCKED}99.88
  • {BLOCKED}102.255
  • {BLOCKED}.125.118
  • {BLOCKED}.14.97
  • {BLOCKED}133.149
  • {BLOCKED}.167.52
  • {BLOCKED}.225.29
  • {BLOCKED}6.97.205
  • {BLOCKED}.37.44
  • {BLOCKED}3.66.100
  • {BLOCKED}.180.70
  • {BLOCKED}125.154
  • {BLOCKED}1.55.65
  • {BLOCKED}6.9.242
  • {BLOCKED}4.197.143
  • {BLOCKED}2.210.215
  • {BLOCKED}.104.246
  • {BLOCKED}.128.26
  • {BLOCKED}.45.24
  • {BLOCKED}.249.45
  • {BLOCKED}174.155
  • {BLOCKED}.222.33
  • {BLOCKED}.104.31
  • {BLOCKED}7.2.226
  • {BLOCKED}.243.103
  • {BLOCKED}.82.197
  • {BLOCKED}.55.12
  • {BLOCKED}.151.202
  • {BLOCKED}.5.46
  • {BLOCKED}.126.137
  • {BLOCKED}19.183
  • {BLOCKED}0.122.200
  • {BLOCKED}7.18.254
  • {BLOCKED}.68.245
  • {BLOCKED}136.173
  • {BLOCKED}192.254
  • {BLOCKED}.222.229
  • {BLOCKED}155.207
  • {BLOCKED}7.50.252
  • {BLOCKED}.107.14
  • {BLOCKED}1.32.163
  • {BLOCKED}.60.44
  • {BLOCKED}.35.108
  • {BLOCKED}1.132.158
  • {BLOCKED}.70.179
  • {BLOCKED}.205.164
  • {BLOCKED}.242.44
  • {BLOCKED}122.173
  • {BLOCKED}3.208.127
  • {BLOCKED}0.141.139
  • {BLOCKED}4.98.85
  • {BLOCKED}154.121
  • {BLOCKED}.203.88
  • {BLOCKED}6.180.24
  • {BLOCKED}.72.191
  • {BLOCKED}.49.196
  • {BLOCKED}5.133
  • {BLOCKED}5.232.44
  • {BLOCKED}3.55.243
  • {BLOCKED}.45.178
  • {BLOCKED}9.110.126
  • {BLOCKED}1.130.226
  • {BLOCKED}.85.57
  • {BLOCKED}.115.117
  • {BLOCKED}8.156.244
  • {BLOCKED}3.234.112
  • {BLOCKED}4.53.12
  • {BLOCKED}9.64.219
  • {BLOCKED}.48.52
  • {BLOCKED}.173.196
  • {BLOCKED}8.211.132
  • {BLOCKED}245.233
  • {BLOCKED}1.148.174
  • {BLOCKED}57.85
  • {BLOCKED}.78.51
  • {BLOCKED}8.195.191
  • {BLOCKED}6.49.99
  • {BLOCKED}8.217.53
  • {BLOCKED}.76.95
  • {BLOCKED}4.113.6
  • {BLOCKED}.233.118
  • {BLOCKED}.74.49
  • {BLOCKED}81.181
  • {BLOCKED}.25.126
  • {BLOCKED}.95.157
  • {BLOCKED}0.79.233
  • {BLOCKED}.192.24
  • {BLOCKED}.113.118
  • {BLOCKED}1.126.155
  • {BLOCKED}4.132.237
  • {BLOCKED}32.98
  • {BLOCKED}233.209
  • {BLOCKED}.29.135
  • {BLOCKED}5.129.84
  • {BLOCKED}9.219.11
  • {BLOCKED}57.62
  • {BLOCKED}9.238.251
  • {BLOCKED}5.164.81
  • {BLOCKED}.145.129
  • {BLOCKED}.67.149
  • {BLOCKED}.224.33
  • {BLOCKED}.73.161
  • {BLOCKED}.37.240
  • {BLOCKED}.165.126
  • {BLOCKED}.63.63
  • {BLOCKED}.96.125
  • {BLOCKED}144.8
  • {BLOCKED}8.67.195
  • {BLOCKED}.178.74
  • {BLOCKED}158.179
  • {BLOCKED}.206.109
  • {BLOCKED}6.126.233
  • {BLOCKED}0.31.188
  • {BLOCKED}.205.228
  • {BLOCKED}7.123.227
  • {BLOCKED}0.156.26
  • {BLOCKED}8.54.141
  • {BLOCKED}.98.208
  • {BLOCKED}0.207.101
  • {BLOCKED}105.223
  • {BLOCKED}.242.87
  • {BLOCKED}.150.248
  • {BLOCKED}6.249.13
  • {BLOCKED}.43.28
  • {BLOCKED}2.30.254
  • {BLOCKED}0.160.23
  • {BLOCKED}0.59.181
  • {BLOCKED}.156.118
  • {BLOCKED}9.160.176
  • {BLOCKED}55.114
  • {BLOCKED}214.235
  • {BLOCKED}.38.178
  • {BLOCKED}7.62.14
  • {BLOCKED}6.112.76
  • {BLOCKED}.108.196
  • {BLOCKED}6.81
  • {BLOCKED}8.148.251
  • {BLOCKED}.29.87

スパイウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.750

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
    • FeatureControl
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl
    • FEATURE_BROWSER_EMULATION
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl
    • FEATURE_BROWSER_EMULATION
  • In HKEY_CURRENT_USER\Software
    • 51e5db588f
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • 51e5db588f

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION
    • regsvr32.exe = "22b8"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION
    • iexplore.exe = "22b8"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION
    • regsvr32.exe = "22b8"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION
    • iexplore.exe = "22b8"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
    • 36fb3192 = "{random characters}"
  • In HKEY_CURRENT_USER\Software\51e5db588f
    • 36fb3192 = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
    • 86bd5df9 = "864"
  • In HKEY_CURRENT_USER\Software\51e5db588f
    • 86bd5df9 = "864"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
    • fc7e257e = "B8DE7A1E259E9FD1"
  • In HKEY_CURRENT_USER\Software\51e5db588f
    • fc7e257e = "B8DE7A1E259E9FD1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
    • 93c89353 = "1440687122"
  • In HKEY_CURRENT_USER\Software\51e5db588f
    • 93c89353 = "1440687122"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\51e5db588f
    • f0fc8a30 = "%Application Data%\ynofi\ynofi.exe"
  • In HKEY_CURRENT_USER\Software\51e5db588f
    • f0fc8a30 = "%Application Data%\ynofi\ynofi.exe"

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
    • From: 1206 = "0"
      To: 1206 = ""3""
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
    • From: 2300 = "0"
      To: 2300 = ""1""
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
    • 1809 = "3"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
    • 1206 = "0"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
    • From: 2300 = "0"
      To: 2300 = ""1""
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
    • From: 1809 = "3"
      To: 1809 = ""3""

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\ynofi\ynofi.exe

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\ynofi

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_ROMPOST.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

以下の削除されたレジストリキーまたはレジストリ値をバックアップを用いて修復します。

※註：マイクロソフト製品に関連したレジストリキーおよびレジストリ値のみが修復されます。このマルウェアもしくはアドウェア等が同社製品以外のプログラムも削除した場合には、該当プログラムを再度インストールする必要があります。

  • In HKEY_LOCAL_MACHINE
    • SOFTWARE


ご利用はいかがでしたか？　アンケートにご協力ください