解析者: Marfel Tiamzon   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:

  • マルウェアタイプ:
    スパイウェア

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

スパイウェアは、銀行または金融関連機関のリストから情報を収集します。

  詳細

ファイルサイズ 148,480 bytes
タイプ EXE
メモリ常駐 はい
発見日 2010年8月27日
ペイロード ファイルのダウンロード, ファイルの作成

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

  • http://{BLOCKED}3.{BLOCKED}.38.107/nsfinger.exe

インストール

スパイウェアは、以下のファイルを作成します。

  • %Application Data%\{random1}\{random}.exe
  • %Application Data%\{random2}\{random}.act

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

  • %Application Data%\{random1}
  • %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{1E4B2D16-BDE9-5695-E6A2-289F36546274} = %Application Data%\{random1}\{random}.exe

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

  • *.ebay.com/*eBayISAPI.dll?*
  • *.microsoft.com/*
  • *//ktt.key.com/ktt/cmd/logonFromKeyCom
  • *//ktt.key.com/ktt/cmd/validatePinForm
  • *//ultrabranch.alaskausa.org/efs/servlet/efs/*password*
  • *//www.svbconnect.com/security/challengeVerify.do
  • */my.ebay.com/*CurrentPage=MyeBayPersonalInfo*
  • *EBC_EBC1961/EBC_NEC/RSAEncrypt.js*
  • *amazon.com*
  • *bankofamerica.com*
  • *blogger.com*
  • *ebc_ebc1961/EBC_NEC/RSAEncrypt.js*
  • *facebook.com*
  • *flickr.com*
  • *ingdirect.com*
  • *livejournal.com*
  • *myspace.com*
  • *youtube.com*
  • http*.webcashmanager.com*Login*
  • http*.webcashmgmt.com*Login*
  • http*/phcp/econnection/login/js/login.htm*
  • http*/phcp/servlet*Login*
  • http*/wcmfd/*Login*
  • http*/wcmfd/js/LoginCSS.js*
  • http*bolb.associatedbank.com*
  • http*bolb.associatedbank.com/js/jquery.js*
  • http*business-eb.ibanking-services.com*general.js*
  • http*business-eb.ibanking-services.com/K1/*jsp*
  • http*business-eb.ibanking-services.com/K1/*login*jsp*
  • http*ebanking-services.com/*
  • http*ebanking-services.com/AUTH/WebResource.axd*
  • http*scripts/injScp.js*
  • http*sso.uboc.com/js/ub-common.js*
  • http*sso.uboc.com/obc/forms/login.fcc*
  • http*treasury.pncbank.com/portal/esec/login.ht*
  • http*treasury.pncbank.com/portal/service/js/loginproc.js*
  • http*treasurydirect*tdbank.com*
  • http*treasurydirect*tdbank.com*cfm*
  • http*treasurydirect*tdbank.com*login_brandScripts.js*
  • http*www.northerntrust.com/*
  • http*www.northerntrust.com/incs/scripts.js
  • http*www3683.ntrs.com*
  • http://*
  • http://*myspace.com*
  • http://aeheix.ru/script.js
  • http://fbtonline.com/home/
  • http://feedback.ebay.com/ws/eBayISAPI.dll?ViewFeedback&*
  • http://unfcu.org/
  • http://www.arvest.com/
  • http://www.firstbankpr.com/
  • http://www.firsttennessee.com/
  • http://www.jpmorganaccess.com/*
  • http://www.ncsecu.org/*
  • http://www.synovus.com/
  • http://www.unfcu.org/
  • http://www.wescorp.org
  • https*/pub/html/login.html*
  • https*access.wescorp.org*
  • https*access.wescorp.org/_Auth*
  • https://*.web-access.com*welcome.cgi*
  • https://*.web-cashplus.com/Cashplus/
  • https://*/IBWS/checkUser.do
  • https://*/cmserver*verify.cfm*
  • https://*/onlineserv/CM/*
  • https://*/onlineserv/CM/std/js/en/disofactor.js*
  • https://*Cashman*
  • https://*blilk.com/Core/Authentication/MFA*.aspx
  • https://*blilk.com/Core/Authentication/MFA*.aspx*
  • https://*blilk.com/include/Utils.js
  • https://*blilk.com/include/Utils.js*
  • https://*cmserver/include/ui/uiScripts.js*
  • https://*login_ui_includes/login_brandScripts.js*
  • https://*treasury.pncbank.com/*/login.ht
  • https://a248.e.akamai.net/6/248/3583/000/wellsoffice.wellsfargo.com/ceoportal/framework/skins/default/js/wria/wria-core-min.js*
  • https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
  • https://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js
  • https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/jquery-ui.min.js
  • https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/themes/start/ui.all.css
  • https://alltimetreasury.pacificcapitalbank.com/TekPortfolio/servlet/TB_UI_Controller*
  • https://authmaster.nationalcity.com/tmgmt/js/bharosa_uio.js*
  • https://authmaster.nationalcity.com/tmgmt/wslogin.jsp*
  • https://banking.calbanktrust.com/iLogin.jsp
  • https://bankoffortbendonline.com/onlineserv/CM*
  • https://bnycash.bankofny.com/
  • https://bnycash.bankofny.com/1
  • https://businessaccess.citibank.citigroup.com/cbusol/do/htmlserver/js/env.js*
  • https://businessaccess.citibank.citigroup.com/cbusol/signon.do*
  • https://businessonline.huntington.com/BOLHome/BusinessOnlineLogin.aspx*
  • https://businessonline.huntington.com/common/scripts/common.js*
  • https://businessonline.tdbank.com/CorporateBankingWeb/Core/Login.aspx*
  • https://businessonline.tdbank.com/CorporateBankingWeb/VAM/2_0_2/VAM.js*
  • https://businessonline.tdbank.com/corporatebankingweb/core/login.aspx*
  • https://cashman.arvest.com/cashman*Auth.asp
  • https://cashmanagement.firstambank.com/iBank/cmserver/loginforwardtourl.cfm
  • https://cashmanagement.firstambank.com/iBank/cmserver/verify.cfm
  • https://cashmgt.firsttennessee.biz/WebID/IISWebAgentIF.dll
  • https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp
  • https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp*
  • https://cbs.firstcitizens.com/cb/jsp-ns/inc/auth/fp.js*
  • https://cbs.firstcitizens.com/cb/servlet/cb/loginfcbnc.jsp*
  • https://chaseonline.chase.com/MyAccounts.aspx
  • https://chsec.wellsfargo.com/login/login.fcc*
  • https://cm.firstbankpr.com/cashplus/
  • https://cm.firstbankpr.com/error
  • https://cm.netteller.com/login*/Authentication/Views/LoginCM.aspx
  • https://cm.netteller.com/login2008/Authentication/Views/Login.aspx*
  • https://cm.netteller.com/login2008/Scripts/NetTellerCorners.js*
  • https://commerceconnections.commercebank.com/ibank/cmserver/welcome/default/verify.cfm
  • https://commercial.wachovia.com/Online/Financial/Business/Service*
  • https://commercial.wachovia.com/Online/Financial/Business/Service?action=Login*
  • https://commercial.wachovia.com/Online/Registration/jsinclude/bidata.js
  • https://ctreporter.coletaylor.com/bbw/cmserver/welcome/default/verify.cfm
  • https://ctreporter.coletaylor.com/bbw/cmserver/welcome/default/verify.cfm1
  • https://direct.53.com/logon53Direct.jsp*
  • https://direct.bankofamerica.com/BofaDirect/javascript/js.util.uiutils.js*
  • https://direct.bankofamerica.com/Core/servlet/BofaDirect.BankofAmericaDirect.BankofAmericaDirectServlet?page=PgLogin*
  • https://e-access.compassbank.com/bbw/brandimage/Login1?t=4
  • https://e-access.compassbank.com/bbw/cmserver/welcome/default/verify.cfm
  • https://ecash.*
  • https://ecash.dacotahbank.com/cashman//Auth.asp
  • https://ecash.dacotahbank.com/cashman/default.Aspx
  • https://ecash.dacotahbank.com/out.html
  • https://ecash.fsbnm.com/cashman//Auth.asp
  • https://ecash.fsbnm.com/cashman/Default.aspx
  • https://ecash.fsbnm.com/out.html
  • https://express.53.com/express/logon.action
  • https://express.53.com/express/logon.action*
  • https://express.53.com/express/logon.action1
  • https://express.53.com/express/rsa/RSAScript.js*
  • https://goldleafach.com/ach/Login.aspx*
  • https://ibank.scnb.com/inets/Login.cfm
  • https://infoplus.mandtbank.com/cashplus/
  • https://internetbanking.firsttennessee.biz/*
  • https://internetbanking.firsttennessee.biz/webcm/customer1.asp*
  • https://itreasury.regions.com/phcp/servlet/CustomerLoginServlet
  • https://itreasury.regions.com/phcp/servlet/error
  • https://ktt.key.com/ktt/cmd/logon
  • https://ktt.key.com/ktt/images/logo_keyTotalTreasury.gif
  • https://myib.firstmerchants.com/fi3039a_auth/sbuser/slogon
  • https://netconnect.bokf.com/bbw/cmserver/welcome/default/login_brandimages/logo.gif
  • https://netconnect.bokf.com/bbw/cmserver/welcome/default/verify.cfm
  • https://olb.gnty.com/Login/Username.aspx*
  • https://online.citibank.com/*
  • https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
  • https://online.wellsfargo.com/das/cgi-bin/session.cgi*
  • https://onlineaccess.ncsecu.org/login.aspx
  • https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
  • https://onlinetreasurymanager.suntrust.com/ibswebsuntrust/cmserver/welcome/default/verify.cfm
  • https://passport.texascapitalbank.com/BankNow.aspx*
  • https://passport.texascapitalbank.com/BankNow.aspx?ErrorMsg=Token%20Code%20expired.%20Please%20generate%20again.
  • https://passport.texascapitalbank.com/CustomError.aspx
  • https://passport.texascapitalbank.com/Default.aspx
  • https://pccm.peoples.com/webcm/*
  • https://pccm.peoples.com/webcm/err.asp
  • https://premierview.membersunited.org/Core/login.aspx*
  • https://premierview.membersunited.org/WebResource.axd*
  • https://rbs.com/
  • https://secure.fundsxpress.com/piles/fxweb.pile/custom_login?template=login&no_top_url=1&iid=ABMWI
  • https://secure.ingdirect.com/myaccount/INGDirect.html
  • https://secure.ingdirect.com/myaccount/InitialINGDirect.html*
  • https://securentrycorp.*/Authentication/lib.js*
  • https://securentrycorp.*/Authentication/zbf/k/*
  • https://securentrycorp.amegybank.com/Authentication/zbf/index?appId=PORTAL&domainId=abt
  • https://securentrycorp.amegybank.com/Authentication/zbf/k/*
  • https://securentrycorp.calbanktrust.com/Authentication/zbf/index?appId=PORTAL&domainId=cbt
  • https://securentrycorp.calbanktrust.com/Authentication/zbf/k/*
  • https://securentrycorp.calbanktrust.com/Enrollment/zbf/k/1
  • https://securentrycorp.nbarizona.com/Authentication/zbf/index?appId=PORTAL&domainId=nba
  • https://securentrycorp.nbarizona.com/Authentication/zbf/k/*
  • https://securentrycorp.nbarizona.com/Enrollment/zbf/k/1
  • https://securentrycorp.zionsbank.com/Authentication/zbf/index?appId=PORTAL&domainId=zfnb
  • https://securentrycorp.zionsbank.com/Authentication/zbf/k/*
  • https://securentrycorp.zionsbank.com/Enrollment/zbf/k/1
  • https://singlepoint.usbank.com/*
  • https://singlepoint.usbank.com/cs70_banking/logon/sbuser*
  • https://singlepoint.usbank.com/cs70_banking/user/script/login.js*
  • https://singlepoint.usbank.com/error
  • https://sitekey.bankofamerica.com/sas/signon.do
  • https://trading.scottrade.com/home/default.aspx
  • https://treas-mgt.frostbank.com/rdp/cgi-bin/*
  • https://treas-mgt.frostbank.com/rdp/cgi-bin/welcome.cgi*
  • https://treasury.wamu.com/bbw/cmserver/include/challenge100.cfm
  • https://treasury.wamu.com/ibswamu/cmserver/login_validate.cfm*
  • https://treasury.wamu.com/ibswamu/cmserver/welcome/default/verify.cfm
  • https://usgateway1.rbs.com/usgateway/cb/gpsmoneymanager.jsp
  • https://usgateway2.rbs.com/usgateway/cb/gpsmoneymanager.jsp
  • https://web.da-us.citibank.com/*BS_Id=MemberHomepage*
  • https://webexpress.tdbanknorth.com/wcmfd/wcmpw/CustomerLogin
  • https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp
  • https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp*
  • https://www#.citizensbankonline.com/*/index-wait.jsp
  • https://www#.usbank.com/internetBanking/LoginRouter
  • https://www.53.com/images/common/hp_top_logo_01.gif
  • https://www.53.com/servlet/efsonline/index.html*
  • https://www.53.com/wps/portal/*
  • https://www.53.com/wps/portal/cblogin
  • https://www.bankoffortbendonline.com/onlineserv/CM*
  • https://www.bankoffortbendonline.com/onlineserv/CM/std/img/customNavbar.gif
  • https://www.bbvacompass.com/contact/
  • https://www.businesse-cashmanager.web-access.com/natpenn/cgi-bin/welcome.cgi
  • https://www.businesse-cashmanager.web-access.com/natpenn/images/natpennbank/loginban.gif
  • https://www.businessonline.blilk.com/Core/Authentication/MFA*.aspx
  • https://www.businessonline.blilk.com/include/Utils.js
  • https://www.businessonlineaccess.web-cashplus.com/Cashplus/1
  • https://www.businessonlineaccess.web-cashplus.com/pub/js/utilities.js
  • https://www.businessonlineaccess.web-cashplus.com/pub/js/validation.js
  • https://www.businessonlineaccess.web-cashplus.com/pub/product_brands/synovus/css/brand.css
  • https://www.businessonlineaccess.web-cashplus.com/pub/product_brands/synovus/images/BOA%20Logo.jpg
  • https://www.cashanalyzer.com/1
  • https://www.cashanalyzer.com/cgi-bin/carsa#clnt.dll/CA%20-%20Main1/ND000_
  • https://www.cashanalyzer.com/images/CA_dbLogo.jpg
  • https://www.cbolobank.com/business/j_security_check
  • https://www.cbolobank.com/business/login/Login.jsp
  • https://www.cbolobank.com/business/login/err
  • https://www.columbiabankonline.com/onlineserv/CM/
  • https://www.columbiabankonline.com/onlineserv/CM/index.cgi
  • https://www.commercial.hsbc.com.hk/1/2/!ut/p/kcxml/*
  • https://www.commercial.hsbc.com.hk/1/themes/html/b2gjs/WT_top_section.js*
  • https://www.corporatebanking.firsttennessee.com/cb/servlet/cb/jsp-ns/login.jsp*
  • https://www.directline4biz.com/bbw/cmserver/login_validate.cfm*
  • https://www.directline4biz.com/challenge100.cfm
  • https://www.easterntreasuryconnect.com/bbw/cmserver/appserver_login_validate.cfm
  • https://www.easterntreasuryconnect.com/bbw/cmserver/welcome/default/verify.cfm
  • https://www.eastwestbankhb.com/onlineserv/CM/*
  • https://www.ffsbkyonline.com/*
  • https://www.frostbank.com/sitemap/Pages/default.aspx
  • https://www.google.com/accounts/ig.gif
  • https://www.independentcm.com/onlineserv/CM/
  • https://www.jpmorgan.com/cm/ContentServer?pagename=Chase/Href&urlname=jpmorgan
  • https://www.manufacturers.web-access.com/wa/cgi-bin/welcome.cgi
  • https://www.manufacturers.web-access.com/wa/images/HC/loginban.gif
  • https://www.microsoft.com/library/media/1033/windows/images/internet-explorer/default/ie8_logo.gif\
  • https://www.microsoft.com/library/media/1033/windows/images/internet-explorer/default/ie8_logo.gif\
  • https://www.mtb.com/commercial/exit/Pages/ExitPage.aspx
  • https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
  • https://www.nashvillecitizensbank.com/olbb/Login2FA.asp
  • https://www.nationalcity.com/consultnc/
  • https://www.nationalcity.com/consultnc/*
  • https://www.nationalcity.com/sharedApp/js/isEmpty.js*
  • https://www.paypal.com/*/webscr?cmd=_account
  • https://www.paypal.com/*/webscr?cmd=_login-done*
  • https://www.pnc.com/webapp/sec/Forms.do?siteArea=/PNC/Feedback+Form
  • https://www.securechemicalbankmi.com/onlineserv/CM/
  • https://www.signatureny.web-access.com/signat/cgi-bin/*
  • https://www.signatureny.web-access.com/signat/cgi-bin/welcome.cgi
  • https://www.signatureny.web-access.com/signat/images/HC/loginban.gif
  • https://www.sterlingcorporatenetbanking.com/bbw/cmserver/login_validate.cfm*
  • https://www.sterlingwires.com/
  • https://www.sterlingwires.com/files/Images/logo.gif
  • https://www.sterlingwires.com/files/logo.htm
  • https://www.sterlingwires.com/js/IWPreScript.js_9.0.42*
  • https://www.suntrust.com/portal/server.pt*parentname=Login*
  • https://www.svbconnect.com/*
  • https://www.svbconnect.com/security/integratedLoginAuth.do
  • https://www.svbconnect.com/useraccess/Login.jsp
  • https://www.treasury.pncbank.com/portal/service/pinacle/img/PNCLogo.jpg
  • https://www.ulsterbankanytimebanking.ie/login.aspx*
  • https://www.us.hsbc.com/*
  • https://www.us.hsbc.com/*business.online*
  • https://www.us.hsbc.com/1/2/3/business/online/business-internet-banking/log-on*
  • https://www.us.hsbc.com/1/themes/html/hbus_common/HSBC-top_section.js1*
  • https://www.whitneybank.web-access.com/whitney/cgi-bin/welcome.cgi
  • https://www2.alerusfinancial.com/cashman//Auth.asp
  • https://www2.alerusfinancial.com/cashman/default.Aspx
  • https://www2.alerusfinancial.com/out.html
  • https://www3683.ntrs.com/ptl/ptl/javascript/NavigationMenuScripts.js*
  • https://www8.comerica.com/*
  • https://www8.comerica.com/images/sdc.js

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

  • http://{BLOCKED}1.{BLOCKED}4.0.192/file_ns.bin
  • http://{BLOCKED}1.{BLOCKED}4.0.193/ns_good.bin
  • http://{BLOCKED}shinsea.org/ns2010.bin
  • http://{BLOCKED}nnygirls.com/666ns.bin
  • http://{BLOCKED}eoleolegogo.net/ns001.bin
  • http://{BLOCKED}3.{BLOCKED}1.38.103/nsuper64.bin

ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

  • Amazon
  • Banco Bilbao Vizcaya Argentaria
  • Bank of America
  • Blogger
  • CCM
  • Chase
  • Citibank
  • Citizens
  • Citizens Bank
  • Compass Bank
  • Ebay
  • Facebook
  • Fifth Third
  • First American Bank
  • Flickr
  • HSBC
  • ING Direct
  • Key Total Treasury
  • Live Journal
  • M&T Bank
  • Microsoft
  • Money Manager
  • Myspace
  • National City
  • Net Banking
  • PNC
  • PayPal
  • Raiffeisen
  • Silicon Valley Bank
  • Suntrust
  • US Bank
  • Union Bank of California
  • Wachovia
  • Washington Mutual
  • Wells Fargo
  • YouTube
  • Zions Bank
  • iTreasury

攻撃対象

スパイウェアは、銀行または金融関連機関のリストから情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • http://{BLOCKED}3.{BLOCKED}.38.108/nsbambei.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

  • bf6313552c83c7cfbabd78212dbbcc99

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

  • 9294e032deaa75a696ef5a3615d36ec76de2b7f5

  対応方法

対応検索エンジン: 8.900

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\
    • {random}

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {1E4B2D16-BDE9-5695-E6A2-289F36546274}=%Application Data%\{random1}\{random}.exe

手順 4

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  %Application Data%\{random1}
%Application Data%\{random2}

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_ZBOT.BFS」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください