![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
PUA.Win32.Vittalia.AL
Riskware/Vittalia (FORTINET)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: 潜在的に迷惑なアプリケーション
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
プログラムは、ワーム活動の機能を備えていません。
プログラムは、バックドア活動の機能を備えていません。
プログラムは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
プログラムは、以下のフォルダを追加します。
- %User Temp%\ns{Random Characters}.tmp
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
プログラムは、以下のファイルを作成します。
- %Malware Path%\loader64.gif
- %Malware Path%\icon.ico
- %User Temp%\1.txt
- %User Temp%\dcf2Installer.exe
- %User Temp%\dcf2Installer.INI
- %User Temp%\dcf2fondo.bmp.zip
- %Malware Path%\fondo.bmp
- %User Temp%\dcf2header.bmp.zip
- %Malware Path%\header.bmp
- %User Temp%\license.rtf
- %User Temp%\ajax_loader.gif
- %User Temp%\instloffer.exe
- %User Temp%\vittalia.jpg
- %User Temp%\square_delta.bmp
- %User Temp%\toolbar_delta.bmp
- %User Temp%\square_utilsbar.bmp
- %User Temp%\tb_utilsbar.bmp
- %User Temp%\square_coupish.bmp
- %User Temp%\coupish_largo.gif
- %User Temp%\square_dealply.bmp
- %User Temp%\dealply_largo.bmp
- %User Temp%\moreinfo_coupondropdown.bmp
- %User Temp%\square_coupondropdown.bmp
- %User Temp%\square_speedupmypc.bmp
- %User Temp%\moreinfo_speedupmypc.bmp
- %User Temp%\square_driverscanner.bmp
- %User Temp%\moreinfo_driverscanner.bmp
- %User Temp%\yontoo.bmp
- %User Temp%\freetwittube_logo.bmp
- %User Temp%\freetwittube_image1.bmp
- %User Temp%\square_freetwittube.bmp
- %User Temp%\pricepeep_logo.bmp
- %User Temp%\square_pricepeep.bmp
- %User Temp%\richtext1.rtf
- %User Temp%\square_softwareupdater.bmp
- %User Temp%\mockup_softwareupdater.bmp
- %User Temp%\freetwittube_text.rtf
- %User Temp%\config.xml
- %User Temp%\ns{Random Characters}.tmp\modern-header.bmp
- %User Temp%\ns{Random Characters}.tmp\modern-wizard.bmp
- %User Temp%\ns{Random Characters}.tmp\ButtonEvent.dll
- %User Temp%\ns{Random Characters}.tmp\System.dll
- %User Temp%\ns{Random Characters}.tmp\ToolkitOffers.dll
- %User Temp%\ns{Random Characters}.tmp\nsArray.dll
- %User Temp%\ns{Random Characters}.tmp\nsDialogs.dll
- %User Temp%\ns{Random Characters}.tmp\BgWorker.dll
- %User Temp%\ns{Random Characters}.tmp\execDos.dll
- %User Temp%\ns{Random Characters}.tmp\ToolkitOffers.dll
- %User Temp%\utilsbar.exe
- %User Temp%\ns{Random Characters}.tmp\nsExec.dll
- %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
- %User Temp%\nso756F.tmp\ToolkitOffers.dll
- %User Temp%\nso756F.tmp\nsExec.dll
- %User Temp%\nso756F.tmp\ns{Random Characters}.tmp
- %User Temp%\nso756F.tmp\System.dll
- %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
- %User Temp%\ns{Random Characters}.tmp\ThreadTimer.dll
- %User Temp%\ns{Random Characters}.tmp\Anuncios.dll
- %User Temp%\ns{Random Characters}.tmp\sarainetc2.dll
- %User Temp%\nsd67C8.tmp\animgif.dll
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
プログラムは、以下のプロセスを追加します。
- %User Temp%\instloffer.exe "/SENDREPORTS=1" "/REPORTURL=http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php" "/PARTNERID=TRAILSJA" "/OFFERID=2846" "/PROGRAMURLENCODED=AutoCAD%202013%202013%20%2832bit%29%20" "/ORIGEN=" "/OFFERKEYWORD=UTILSBAR" "/OFFERURL=http://media.{BLOCKED}ta.com.es/xmlstatic/installers/software/utilsbar/EazelBar.exe" "/OFFERPARAMS=/sp /hp /S /UPDATE" "/OFFERPARAMSURLENCODED=%2Fsp%20%2Fhp%20%20%2FS%20%2FUPDATE" "/CONVERSIONURL=" "/CHANNEL=TRAILSJA" "/INSTTYPE=ax" "/browserprotect_toolurl=http://media.{BLOCKED}ta.com.es/xmlstatic/installers/software/browserprotect/browserprotect.exe" "/browserprotect_params= /language=japanese /ie_apply /ff_apply /ch_apply" "/browserprotect_params_URLENCODED=%20%2Flanguage%3Djapanese%20%2Fie_apply%20%2Fff_apply%20%2Fch_apply"
- "%User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%User Temp%\utilsbar.exe" /sp /hp /S /UPDATE
- "%User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%User Temp%\browserprotect.exe" /language=japanese /ie_apply /ff_apply /ch_apply
- %User Temp%\instloffer.exe "/SENDREPORTS=1" "/REPORTURL=http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php" "/PARTNERID=TRAILSJA" "/OFFERID=2504" "/PROGRAMURLENCODED=AutoCAD%202013%202013%20%2832bit%29%20" "/ORIGEN=" "/OFFERKEYWORD=SOFTWAREUPDATER" "/OFFERURL=http://media.{BLOCKED}ta.com.es/xmlstatic/installers/software/updater/softwareupdater.exe" "/OFFERPARAMS=/partner=TRAILSJA /sem=0 /language=japanese" "/OFFERPARAMSURLENCODED=%2Fpartner%3DTRAILSJA%20%20%2Fsem%3D0%20%2Flanguage%3Djapanese" "/CHANNEL=" "/INSTTYPE=ax"
- "%User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%User Temp%\softwareupdater.exe" /partner=TRAILSJA /sem=0 /language=japanese
- "%Program Files%\Google\Chrome\Application\chrome.exe" --single-argument http://japanese.{BLOCKED}amework.org/lv/afterdownload/view.htm?product=AutoCAD%202013%202013%20%2832bit%29%20
感染活動
プログラムは、ワーム活動の機能を備えていません。
バックドア活動
プログラムは、バックドア活動の機能を備えていません。
ルートキット機能
プログラムは、ルートキット機能を備えていません。
ダウンロード活動
プログラムは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。
- http://media.{BLOCKED}ta.com.es/xmlstatic/installers/software/utilsbar/EazelBar.exe
- http://media.{BLOCKED}ta.com.es/xmlstatic/installers/software/browserprotect/browserprotect.exe
- http://media.{BLOCKED}ta.com.es/xmlstatic/installers/software/updater/softwareupdater.exe
- http://media.{BLOCKED}ta.com.es/xmlstatic/ads/trailsframework.html
- http://pf.{BLOCKED}t.com/s/2/2/228705-666345-autocad-2013.exe
プログラムは、以下のファイル名でダウンロードしたファイルを保存します。
- %User Temp%\EazelBar.exe
- %User Temp%\browserprotect.exe
- %User Temp%\softwareupdater.exe
- %User Temp%\trailsframework.html
- %User Temp%\228705-666345-autocad-2013.exe
(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
その他
プログラムは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Vittalia
プログラムは、以下のWebサイトにアクセスし、情報を送受信します。
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/geo.php
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/api.php?action=newenduser
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/api.php?action=get_percent&partoffer_id={ID}
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId={ID}&action=startedInstall&program=AutoCAD%202013%202013%20%2832bit%29%20&{parameter}=&origen=&of={ID}%2C2504&ofSel=/noempty&ofNos_mi=/noempty&ofNos_ot=/noempty&ofDis_mi=/noempty&ofDis_ot=/noempty
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId={ID}&action=OfferShown&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId={ID}&action=OfferAccepted&{parameter}=%2Fsp%20%2Fhp%20%20%2FS%20%2FUPDATE&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=&toolbar=1&homepage=1&feed=1&utilsbar_browserprotect_params=%20%2Flanguage%3Djapanese%20%2Fie_apply%20%2Fff_apply%20%2Fch_apply
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId={ID}&action=OfferInstallCompleted&{parameter}=error&{parameter}2=%2Fsp%20%2Fhp%20%20%2FS%20%2FUPDATE&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=&prod=UB&ch=TRAILSJA
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId=2504&action=OfferAccepted&{parameter}=%2Fpartner%3DTRAILSJA%20%20%2Fsem%3D0%20%2Flanguage%3Djapanese&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId={ID}&action=StartDownload&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=&of={ID}%2C2504
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId=2504&action=OfferInstallCompleted&{parameter}=error&{parameter}2=%2Fpartner%3DTRAILSJA%20%20%2Fsem%3D0%20%2Flanguage%3Djapanese&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=&prod=US&ch=
- http://{BLOCKED}tcp.{BLOCKED}t.eu/cmd/report.php?PartnerId=TRAILSJA&OfferId={ID}&action=EndInstall&program=AutoCAD%202013%202013%20%2832bit%29%20&origen=&of={ID}%2C2504
プログラムは、以下を実行します。
- It opens the following website through browser:
- https://japanese.{BLOCKED}amework.org/lv/afterdownload/view.htm?product=AutoCAD%202013%202013%20%2832bit%29%20
- It displays the following during installation:
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Vittalia
手順 4
以下のファイルを検索し削除します。
- %Malware Path%\loader64.gif
- %Malware Path%\icon.ico
- %User Temp%\1.txt
- %User Temp%\dcf2Installer.exe
- %User Temp%\dcf2Installer.INI
- %User Temp%\dcf2fondo.bmp.zip
- %Malware Path%\fondo.bmp
- %User Temp%\dcf2header.bmp.zip
- %Malware Path%\header.bmp
- %User Temp%\license.rtf
- %User Temp%\ajax_loader.gif
- %User Temp%\instloffer.exe
- %User Temp%\vittalia.jpg
- %User Temp%\square_delta.bmp
- %User Temp%\toolbar_delta.bmp
- %User Temp%\square_utilsbar.bmp
- %User Temp%\tb_utilsbar.bmp
- %User Temp%\square_coupish.bmp
- %User Temp%\coupish_largo.gif
- %User Temp%\square_dealply.bmp
- %User Temp%\dealply_largo.bmp
- %User Temp%\moreinfo_coupondropdown.bmp
- %User Temp%\square_coupondropdown.bmp
- %User Temp%\square_speedupmypc.bmp
- %User Temp%\moreinfo_speedupmypc.bmp
- %User Temp%\square_driverscanner.bmp
- %User Temp%\moreinfo_driverscanner.bmp
- %User Temp%\yontoo.bmp
- %User Temp%\freetwittube_logo.bmp
- %User Temp%\freetwittube_image1.bmp
- %User Temp%\square_freetwittube.bmp
- %User Temp%\pricepeep_logo.bmp
- %User Temp%\square_pricepeep.bmp
- %User Temp%\richtext1.rtf
- %User Temp%\square_softwareupdater.bmp
- %User Temp%\mockup_softwareupdater.bmp
- %User Temp%\freetwittube_text.rtf
- %User Temp%\config.xml
- %User Temp%\ns{Random Characters}.tmp\modern-header.bmp
- %User Temp%\ns{Random Characters}.tmp\modern-wizard.bmp
- %User Temp%\ns{Random Characters}.tmp\ButtonEvent.dll
- %User Temp%\ns{Random Characters}.tmp\System.dll
- %User Temp%\ns{Random Characters}.tmp\ToolkitOffers.dll
- %User Temp%\ns{Random Characters}.tmp\nsArray.dll
- %User Temp%\ns{Random Characters}.tmp\nsDialogs.dll
- %User Temp%\ns{Random Characters}.tmp\BgWorker.dll
- %User Temp%\ns{Random Characters}.tmp\execDos.dll
- %User Temp%\ns{Random Characters}.tmp\ToolkitOffers.dll
- %User Temp%\utilsbar.exe
- %User Temp%\ns{Random Characters}.tmp\nsExec.dll
- %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
- %User Temp%\nso756F.tmp\ToolkitOffers.dll
- %User Temp%\nso756F.tmp\nsExec.dll
- %User Temp%\nso756F.tmp\ns{Random Characters}.tmp
- %User Temp%\nso756F.tmp\System.dll
- %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
- %User Temp%\ns{Random Characters}.tmp\ThreadTimer.dll
- %User Temp%\ns{Random Characters}.tmp\Anuncios.dll
- %User Temp%\ns{Random Characters}.tmp\sarainetc2.dll
- %User Temp%\nsd67C8.tmp\animgif.dll
手順 5
以下のフォルダを検索し削除します。
- %User Temp%\ns{Random Characters}.tmp
手順 6
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PUA.Win32.Vittalia.AL」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください