Trend Micro Security

Backdoor.Win32.BLADABINDI.POWREM

2020年1月15日
 別名:

VirTool:MSIL/Nanocore.AA!MTB (Microsoft); Packed-FXV!7CC7D895E1E1 (McAfee); HEUR:Trojan-PSW.MSIL.Agensla.gen (Kaspersky); Trojan.Win32.Generic.pak!cobra (Sunbelt)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: バックドア型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 181,248 bytes
タイプ EXE
メモリ常駐 はい
発見日 2020年1月15日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\4t5jttab.cmdline"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES6289.tmp" "%User Temp%\CSC6448C2A6D19428292636D64677E40EF.TMP"
  • netsh firewall add allowedprogram "%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "RegAsm.exe" ENABLE
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\zd0b5trj.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES74E0.tmp" "%User Temp%\CSC8EF2F331EBA04D8CBFC93ECEAFC3F41D.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\mupdua0i.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES8258.tmp" "%User Temp%\CSC38E75480523444E68A7DE592977BDE9.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\pglrd5d4.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES8CF3.tmp" "%User Temp%\CSC69ACC874231F491C8016F57A7237D59C.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\e5cirlan.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RESB95F.tmp" "%User Temp%\CSC60B91A1C74F043078AFAC717C9A324D2.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\cjstrcyl.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RESC763.tmp" "%User Temp%\CSC848984E05C99409F97CA983084423C79.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\0ebt21ul.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RESE484.tmp" "%User Temp%\CSCA5997562ABF41959B33212C395BD52F.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\0gkgmbpv.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RESF259.tmp" "%User Temp%\CSCE865FEA15DB04CBA922FC952DEA1BAD.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\cyelhvm2.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES231.tmp" "%User Temp%\CSC5F34D4D572B4E8FB8EC5D6026B5C12B.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\cuwzg4rp.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES141C.tmp" "%User Temp%\CSC9074638C625F4FF687226A7B29CDEED.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\x52uwa5b.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES26F0.tmp" "%User Temp%\CSCA4C0B8E872264CCA893CD68DF897AD91.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\2y022fa1.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES3726.tmp" "%User Temp%\CSC26872B1AB67C496F9EBA3BECF54EE740.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\35w4jz4v.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES4DC1.tmp" "%User Temp%\CSCDB4E0CE5131244A281AFAE9EC6DEB1.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\vpi4vflv.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES6076.tmp" "%User Temp%\CSC72DE3B9212F6446794C8BB387A5D32F.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\05uqs0ys.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES7DB7.tmp" "%User Temp%\CSC339B4E84356042F99A7AFB18AE9CC689.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\2pxq2o2y.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES927E.tmp" "%User Temp%\CSC5E971D793504DFD9C8C3B7EBC5B8.TMP"
  • "%Windows%\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"%User Temp%\wyj4fk2p.cmdline"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RESA562.tmp" "%User Temp%\CSC9792FB464821410587591FAA813BFB31.TMP"
  • %Windows%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RESB6EF.tmp" "%User Temp%\CSCC9E02FE3B2704E769630D6DC2EA7FCF.TMP"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
a2339d24f1a76ce590f63a53ba0ad179 = "%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe .."

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %User Temp%\vpi4vflv.pdb
  • %User Temp%\cjstrcyl.pdb
  • %User Temp%\2pxq2o2y.pdb
  • %User Temp%\mupdua0i.pdb
  • %User Temp%\pglrd5d4.pdb
  • %User Temp%\zd0b5trj.pdb
  • %User Temp%\cyelhvm2.pdb
  • %User Temp%\35w4jz4v.pdb
  • %User Temp%\0ebt21ul.pdb
  • %User Temp%\cuwzg4rp.pdb
  • %User Temp%\4t5jttab.pdb
  • %User Temp%\e5cirlan.pdb
  • %User Temp%\x52uwa5b.pdb
  • %User Temp%\2y022fa1.pdb
  • %User Temp%\05uqs0ys.pdb
  • %User Temp%\wyj4fk2p.pdb
  • %User Temp%\0gkgmbpv.pdb
  • %User Profile%\Chrome.exe:Zone.Identifier

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER
di = "!"

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
a2339d24f1a76ce590f63a53ba0ad179 = "%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe .."

作成活動

マルウェアは、以下のファイルを作成します。

  • %User Temp%\e5cirlan.err
  • %All Users Profile%\HttpRequestCachePolicy
  • %User Temp%\2pxq2o2y.dll
  • %User Temp%\0ebt21ul.dll
  • %User Temp%\cuwzg4rp.0.cs
  • %User Temp%\pglrd5d4.dll
  • %User Temp%\e5cirlan.0.cs
  • %User Temp%\x52uwa5b.dll
  • %User Temp%\2pxq2o2y.err
  • %User Temp%\cuwzg4rp.cmdline
  • %User Temp%\2y022fa1.err
  • %User Temp%\cyelhvm2.out
  • %User Temp%\cyelhvm2.cmdline
  • %User Temp%\2y022fa1.out
  • %User Temp%\cjstrcyl.cmdline
  • %User Temp%\0gkgmbpv.0.cs
  • %User Temp%\vpi4vflv.err
  • %User Temp%\cyelhvm2.dll
  • %User Temp%\cyelhvm2.0.cs
  • %User Temp%\4t5jttab.0.cs
  • %User Temp%\0ebt21ul.err
  • %User Temp%\wyj4fk2p.dll
  • %User Temp%\2pxq2o2y.cmdline
  • %User Temp%\2pxq2o2y.0.cs
  • %User Temp%\05uqs0ys.dll
  • %User Temp%\zd0b5trj.err
  • %User Temp%\wyj4fk2p.out
  • %User Temp%\0gkgmbpv.dll
  • %User Temp%\2y022fa1.dll
  • %User Temp%\xbk0efov.0.cs
  • %User Temp%\vpi4vflv.0.cs
  • %User Temp%\35w4jz4v.cmdline
  • %User Temp%\35w4jz4v.0.cs
  • %User Temp%\xbk0efov.err
  • %User Temp%\xbk0efov.cmdline
  • %User Temp%\cuwzg4rp.err
  • %User Temp%\zd0b5trj.0.cs
  • %User Temp%\cjstrcyl.0.cs
  • %User Temp%\e5cirlan.cmdline
  • %User Temp%\2y022fa1.cmdline
  • %User Temp%\4t5jttab.dll
  • %User Temp%\zd0b5trj.out
  • %User Profile%\Chrome.exe
  • %User Temp%\x52uwa5b.err
  • %User Temp%\vpi4vflv.dll
  • %User Temp%\0gkgmbpv.err
  • %User Temp%\05uqs0ys.err
  • %User Temp%\e5cirlan.out
  • %User Temp%\35w4jz4v.dll
  • %User Temp%\x52uwa5b.out
  • %User Temp%\wyj4fk2p.err
  • %User Temp%\pglrd5d4.out
  • %User Temp%\mupdua0i.err
  • %User Temp%\cjstrcyl.err
  • %User Temp%\4t5jttab.err
  • %User Temp%\05uqs0ys.0.cs
  • %User Temp%\0ebt21ul.cmdline
  • %User Temp%\4t5jttab.cmdline
  • %User Temp%\0gkgmbpv.cmdline
  • %User Temp%\cjstrcyl.dll
  • %User Temp%\35w4jz4v.err
  • %User Temp%\4t5jttab.out
  • %User Temp%\0ebt21ul.out
  • %User Temp%\e5cirlan.dll
  • %User Temp%\xbk0efov.out
  • %User Temp%\cuwzg4rp.dll
  • %User Temp%\wyj4fk2p.0.cs
  • %User Temp%\x52uwa5b.cmdline
  • %User Temp%\2pxq2o2y.out
  • %User Temp%\wyj4fk2p.cmdline
  • %User Temp%\mupdua0i.dll
  • %User Temp%\zd0b5trj.cmdline
  • %User Temp%\0gkgmbpv.out
  • %User Temp%\05uqs0ys.out
  • %User Temp%\mupdua0i.0.cs
  • %User Temp%\cuwzg4rp.out
  • %User Temp%\xbk0efov.dll
  • %User Temp%\cjstrcyl.out
  • %User Temp%\35w4jz4v.out
  • %User Temp%\05uqs0ys.cmdline
  • %User Temp%\zd0b5trj.dll
  • %User Temp%\vpi4vflv.cmdline
  • %User Temp%\pglrd5d4.cmdline
  • %User Temp%\vpi4vflv.out
  • %User Temp%\x52uwa5b.0.cs
  • %User Temp%\pglrd5d4.err
  • %User Temp%\2y022fa1.0.cs
  • %User Temp%\mupdua0i.out
  • %User Temp%\cyelhvm2.err
  • %User Temp%\pglrd5d4.0.cs
  • %User Temp%\0ebt21ul.0.cs
  • %User Temp%\mupdua0i.cmdline

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://reyderocha.{BLOCKED}s.org

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.850

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

「Backdoor.Win32.BLADABINDI.POWREM」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
  • 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • a2339d24f1a76ce590f63a53ba0ad179 = "%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe .."
  • In HKEY_CURRENT_USER
    • di = "!"
  • In HKEY_CURRENT_USER\Environment
    • SEE_MASK_NOZONECHECKS = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
    • a2339d24f1a76ce590f63a53ba0ad179 = "%Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe .."

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\e5cirlan.err
  • %All Users Profile%\HttpRequestCachePolicy
  • %User Temp%\2pxq2o2y.dll
  • %User Temp%\0ebt21ul.dll
  • %User Temp%\cuwzg4rp.0.cs
  • %User Temp%\pglrd5d4.dll
  • %User Temp%\e5cirlan.0.cs
  • %User Temp%\x52uwa5b.dll
  • %User Temp%\2pxq2o2y.err
  • %User Temp%\cuwzg4rp.cmdline
  • %User Temp%\2y022fa1.err
  • %User Temp%\cyelhvm2.out
  • %User Temp%\cyelhvm2.cmdline
  • %User Temp%\2y022fa1.out
  • %User Temp%\cjstrcyl.cmdline
  • %User Temp%\0gkgmbpv.0.cs
  • %User Temp%\vpi4vflv.err
  • %User Temp%\cyelhvm2.dll
  • %User Temp%\cyelhvm2.0.cs
  • %User Temp%\4t5jttab.0.cs
  • %User Temp%\0ebt21ul.err
  • %User Temp%\wyj4fk2p.dll
  • %User Temp%\2pxq2o2y.cmdline
  • %User Temp%\2pxq2o2y.0.cs
  • %User Temp%\05uqs0ys.dll
  • %User Temp%\zd0b5trj.err
  • %User Temp%\wyj4fk2p.out
  • %User Temp%\0gkgmbpv.dll
  • %User Temp%\2y022fa1.dll
  • %User Temp%\xbk0efov.0.cs
  • %User Temp%\vpi4vflv.0.cs
  • %User Temp%\35w4jz4v.cmdline
  • %User Temp%\35w4jz4v.0.cs
  • %User Temp%\xbk0efov.err
  • %User Temp%\xbk0efov.cmdline
  • %User Temp%\cuwzg4rp.err
  • %User Temp%\zd0b5trj.0.cs
  • %User Temp%\cjstrcyl.0.cs
  • %User Temp%\e5cirlan.cmdline
  • %User Temp%\2y022fa1.cmdline
  • %User Temp%\4t5jttab.dll
  • %User Temp%\zd0b5trj.out
  • %User Profile%\Chrome.exe
  • %User Temp%\x52uwa5b.err
  • %User Temp%\vpi4vflv.dll
  • %User Temp%\0gkgmbpv.err
  • %User Temp%\05uqs0ys.err
  • %User Temp%\e5cirlan.out
  • %User Temp%\35w4jz4v.dll
  • %User Temp%\x52uwa5b.out
  • %User Temp%\wyj4fk2p.err
  • %User Temp%\pglrd5d4.out
  • %User Temp%\mupdua0i.err
  • %User Temp%\cjstrcyl.err
  • %User Temp%\4t5jttab.err
  • %User Temp%\05uqs0ys.0.cs
  • %User Temp%\0ebt21ul.cmdline
  • %User Temp%\4t5jttab.cmdline
  • %User Temp%\0gkgmbpv.cmdline
  • %User Temp%\cjstrcyl.dll
  • %User Temp%\35w4jz4v.err
  • %User Temp%\4t5jttab.out
  • %User Temp%\0ebt21ul.out
  • %User Temp%\e5cirlan.dll
  • %User Temp%\xbk0efov.out
  • %User Temp%\cuwzg4rp.dll
  • %User Temp%\wyj4fk2p.0.cs
  • %User Temp%\x52uwa5b.cmdline
  • %User Temp%\2pxq2o2y.out
  • %User Temp%\wyj4fk2p.cmdline
  • %User Temp%\mupdua0i.dll
  • %User Temp%\zd0b5trj.cmdline
  • %User Temp%\0gkgmbpv.out
  • %User Temp%\05uqs0ys.out
  • %User Temp%\mupdua0i.0.cs
  • %User Temp%\cuwzg4rp.out
  • %User Temp%\xbk0efov.dll
  • %User Temp%\cjstrcyl.out
  • %User Temp%\35w4jz4v.out
  • %User Temp%\05uqs0ys.cmdline
  • %User Temp%\zd0b5trj.dll
  • %User Temp%\vpi4vflv.cmdline
  • %User Temp%\pglrd5d4.cmdline
  • %User Temp%\vpi4vflv.out
  • %User Temp%\x52uwa5b.0.cs
  • %User Temp%\pglrd5d4.err
  • %User Temp%\2y022fa1.0.cs
  • %User Temp%\mupdua0i.out
  • %User Temp%\cyelhvm2.err
  • %User Temp%\pglrd5d4.0.cs
  • %User Temp%\0ebt21ul.0.cs
  • %User Temp%\mupdua0i.cmdline

手順 6

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Backdoor.Win32.BLADABINDI.POWREM」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %User Temp%\vpi4vflv.pdb
  • %User Temp%\cjstrcyl.pdb
  • %User Temp%\2pxq2o2y.pdb
  • %User Temp%\mupdua0i.pdb
  • %User Temp%\pglrd5d4.pdb
  • %User Temp%\zd0b5trj.pdb
  • %User Temp%\cyelhvm2.pdb
  • %User Temp%\35w4jz4v.pdb
  • %User Temp%\0ebt21ul.pdb
  • %User Temp%\cuwzg4rp.pdb
  • %User Temp%\4t5jttab.pdb
  • %User Temp%\e5cirlan.pdb
  • %User Temp%\x52uwa5b.pdb
  • %User Temp%\2y022fa1.pdb
  • %User Temp%\05uqs0ys.pdb
  • %User Temp%\wyj4fk2p.pdb
  • %User Temp%\0gkgmbpv.pdb
  • %User Profile%\Chrome.exe:Zone.Identifier


ご利用はいかがでしたか？　アンケートにご協力ください