Trend Micro Security

PE_BOBAX.AK

2013年6月8日
 別名:

Worm:Win32/Bobax.U (Microsoft); W32/Bobax.worm.gen (McAfee); W32.Bobax!dr (Symantec); Backdoor.Win32.Donbot.p (Kaspersky); BehavesLike.Win32.Malware.bsf (vs) (Sunbelt); Worm/Generic_r.AP (AVG)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 感染確認数:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 129,536 bytes
タイプ EXE
メモリ常駐 はい
発見日 2013年6月8日

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
INTV = "%System%\qltiuealbhe.exe"

他のシステム変更

ウイルスは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

ウイルスは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run\
4FD682E9

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

  • http://yutunrz.{BLOCKED}b.com/reg?{random characters}
  • http://mcduii.{BLOCKED}a.net/reg?{random characters}
  • http://jdjsloy.{BLOCKED}v.com/reg?{random characters}
  • http://wyqggvow.{BLOCKED}d.org/reg?{random characters}
  • http://nttstziinpa.{BLOCKED}n.org/reg?{random characters}
  • http://fcnhysydw.{BLOCKED}i.org/reg?{random characters}
  • http://dlivmg.{BLOCKED}b.com/reg?{random characters}
  • http://neytteybbo.{BLOCKED}a.net/reg?{random characters}
  • http://fzzdik.{BLOCKED}v.com/reg?{random characters}
  • http://pkvgzaecagx.{BLOCKED}d.org/reg?{random characters}
  • http://yraqztt.{BLOCKED}n.org/reg?{random characters}
  • http://kpxvrvdefs.{BLOCKED}i.org/reg?{random characters}
  • http://qeqfsvxousx.{BLOCKED}b.com/reg?{random characters}
  • http://imtoey.{BLOCKED}a.net/reg?{random characters}
  • http://jrscqsshxs.{BLOCKED}v.com/reg?{random characters}
  • http://yjjtuvsro.{BLOCKED}d.org/reg?{random characters}
  • http://firradbqzku.{BLOCKED}n.org/reg?{random characters}
  • http://dgwigom.{BLOCKED}i.org/reg?{random characters}
  • http://mfltoqgqt.{BLOCKED}b.com/reg?{random characters}
  • http://ksfvgfrf.{BLOCKED}a.net/reg?{random characters}
  • http://uhqoyjlu.{BLOCKED}v.com/reg?{random characters}
  • http://bdtjkffl.{BLOCKED}d.org/reg?{random characters}
  • http://ipurfbqpsdj.{BLOCKED}n.org/reg?{random characters}
  • http://orugtuapnzu.{BLOCKED}i.org/reg?{random characters}
  • http://gyssafafiq.{BLOCKED}b.com/reg?{random characters}
  • http://ihhyzby.{BLOCKED}a.net/reg?{random characters}
  • http://pvxkideqlen.{BLOCKED}v.com/reg?{random characters}
  • http://bhlnklify.{BLOCKED}d.org/reg?{random characters}
  • http://tsyunetwmi.{BLOCKED}n.org/reg?{random characters}
  • http://exrjbk.{BLOCKED}i.org/reg?{random characters}
  • http://fndvrix.{BLOCKED}b.com/reg?{random characters}
  • http://ryhszzinxss.{BLOCKED}a.net/reg?{random characters}
  • http://ooyvsk.{BLOCKED}v.com/reg?{random characters}
  • http://qujuvukbvbq.{BLOCKED}d.org/reg?{random characters}
  • http://ichyig.{BLOCKED}n.org/reg?{random characters}
  • http://gtyeywobh.{BLOCKED}i.org/reg?{random characters}
  • http://vfpqyv.{BLOCKED}b.com/reg?{random characters}
  • http://cnntzas.{BLOCKED}a.net/reg?{random characters}
  • http://lslpcl.{BLOCKED}v.com/reg?{random characters}
  • http://qqycilcd.{BLOCKED}d.org/reg?{random characters}
  • http://aflnxlpko.{BLOCKED}n.org/reg?{random characters}
  • http://yeaigapqs.{BLOCKED}i.org/reg?{random characters}
  • http://eivysjix.{BLOCKED}b.com/reg?{random characters}
  • http://aazuxmmqqkq.{BLOCKED}a.net/reg?{random characters}
  • http://rzstdrbnzs.{BLOCKED}v.com/reg?{random characters}
  • http://jqevnl.{BLOCKED}d.org/reg?{random characters}
  • http://yrztpzjou.{BLOCKED}n.org/reg?{random characters}
  • http://rdjqleu.{BLOCKED}i.org/reg?{random characters}
  • http://yldgjpojof.{BLOCKED}b.com/reg?{random characters}
  • http://qjdvlkr.{BLOCKED}a.net/reg?{random characters}
  • http://yxnhwhmrckk.{BLOCKED}v.com/reg?{random characters}
  • http://idgucupep.{BLOCKED}d.org/reg?{random characters}
  • http://dkpkkvkvdzm.{BLOCKED}n.org/reg?{random characters}
  • http://lvzxlhmjfje.{BLOCKED}i.org/reg?{random characters}
  • http://sfowpix.{BLOCKED}b.com/reg?{random characters}
  • http://fuyofzgrbdj.{BLOCKED}a.net/reg?{random characters}
  • http://rjzjxmnvxcu.{BLOCKED}v.com/reg?{random characters}
  • http://njpwrj.{BLOCKED}d.org/reg?{random characters}
  • http://kkqsox.{BLOCKED}n.org/reg?{random characters}
  • http://wrompw.{BLOCKED}i.org/reg?{random characters}
  • http://tnwuaqh.{BLOCKED}b.com/reg?{random characters}
  • http://xypvxdnurje.{BLOCKED}a.net/reg?{random characters}
  • http://ajfgffpjh.{BLOCKED}v.com/reg?{random characters}
  • http://bxffhm.{BLOCKED}d.org/reg?{random characters}
  • http://opdyes.{BLOCKED}n.org/reg?{random characters}
  • http://ddujmhzyhlg.{BLOCKED}i.org/reg?{random characters}
  • http://wovygce.{BLOCKED}b.com/reg?{random characters}
  • http://druuvb.{BLOCKED}a.net/reg?{random characters}
  • http://yleamly.{BLOCKED}v.com/reg?{random characters}
  • http://cludphxadw.{BLOCKED}d.org/reg?{random characters}
  • http://xeulvjqoyup.{BLOCKED}n.org/reg?{random characters}

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.300

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • INTV = "%System%\qltiuealbhe.exe"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile
    • EnableFirewall = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile
    • DoNotAllowExceptions = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DoNotAllowExceptions = "0"

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UpdatesDisableNotify = "1"

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_BOBAX.AK」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

以下の削除されたレジストリキーまたはレジストリ値をバックアップを用いて修復します。

※註：マイクロソフト製品に関連したレジストリキーおよびレジストリ値のみが修復されます。このマルウェアもしくはアドウェア等が同社製品以外のプログラムも削除した場合には、該当プログラムを再度インストールする必要があります。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • 4FD682E9


ご利用はいかがでしたか？　アンケートにご協力ください