Trend Micro Security

TROJ_AGENT.JDSM

2012年10月12日
 別名:

Trojan.ADH.2 (Symantec); ARC:NSIS, PAK:[SkyMonk.exe]:UPX, PAK:[update.exe]:UPX, PAK:[$PLUGINSDIR\md5dll.dll]:UPX (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 3,613,203 bytes
タイプ EXE
メモリ常駐 はい
発見日 2012年3月29日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

  • %System Root%\DOCUME~1
  • %System Root%\DOCUME~1\Wilbert
  • %User Profile%\LOCALS~1
  • %User Temp%\nsa2.tmp
  • %Program Files%\SkyMonk
  • %Start Menu%\Programs\SkyMonk Client
  • %Application Data%\Mail.Ru
  • %Program Files%\Mail.Ru
  • %Program Files%\Mail.Ru\Sputnik
  • %Program Files%\Mail.Ru\Guard
  • %User Profile%\Application Data\{DCD48218-E972-4d0c-9E5F-43462BC13E3B}
  • %Application Data%\Mail.Ru\Sputnik
  • %Application Data%\Mail.Ru\Sputnik\Pics

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Guard.Mail.ru.gui = "%Program Files%\Mail.Ru\Guard\GuardMailRu.exe /gui"

マルウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{8984B388-A5BB-4DF7-B274-77B879E179DB}

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %User Temp%\nsv1.tmp
  • %User Temp%\nsa2.tmp
  • %User Profile%\{DCD48218-E972-4d0c-9E5F-43462BC13E3B}\{9BED5EE2-0547-4706-8600-D3897629ADE0}

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\SkyMonk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client

HKEY_CLASSES_ROOT\*\shell\
smonkcli

HKEY_CLASSES_ROOT\*\shell\
smonkcli\command

HKEY_LOCAL_MACHINE\System\Software\
Config

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings

HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru

HKEY_LOCAL_MACHINE\Software\Mail.Ru\
Guard

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}

HKEY_CLASSES_ROOT\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\
InprocServer32

HKEY_CURRENT_USER\MailRuSputnik.MailRuBHO

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MailRuSputnik.MailRuBHO\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MailRuSputnik.MailRuBHO\CurVer

HKEY_CURRENT_USER\MailRuSputnik.MailRuBHO.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MailRuSputnik.MailRuBHO.1\CLSID

HKEY_CURRENT_USER\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\VersionIndependentProgID

HKEY_CURRENT_USER\MailRu.MailRuSputnikObj

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MailRu.MailRuSputnikObj\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MailRu.MailRuSputnikObj\CurVer

HKEY_CURRENT_USER\MailRu.MailRuSputnikObj.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MailRu.MailRuSputnikObj.1\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\VersionIndependentProgID

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{5F768C80-5A23-4172-A085-9509B9C569A3}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9E63AAC0-8ED6-4898-AF35-78C60F73B818}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\{BFD1C493-BE73-4660-9924-7C23CF34C11D}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\SputnikHelper.EXE

HKEY_CLASSES_ROOT\SputnikHelper.SputnikHelperObj.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
SputnikHelper.SputnikHelperObj.1\CLSID

HKEY_CLASSES_ROOT\SputnikHelper.SputnikHelperObj

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
SputnikHelper.SputnikHelperObj\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
SputnikHelper.SputnikHelperObj\CurVer

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}\LocalServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Guard.Mail.ru

HKEY_CURRENT_USER\Software\Mail.Ru\
Guard\Advertising

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\City

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
TrafficJam

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Weather

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Stream

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Mail

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Odnoklassniki

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
SportBox

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Infox

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
News3d

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\USD

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\EUR

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\AUD

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\BYR

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\CAD

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\CHF

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\CNY

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\DKK

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\GBP

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\ISK

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\JPY

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\KZT

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\NOK

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\RUB

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\SEK

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\SGD

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\TRY

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\UAH

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\XDR

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
UrlPageRank

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Provider

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Operator

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
2Gis

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
My

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Money

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
mTorrent

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\History

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\FeatureStat

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\SkyMonk
InstallDir = "%Program Files%\SkyMonk"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
DisplayName = "SkyMonk Client"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
UninstallString = "%Program Files%\SkyMonk\uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
Publisher = "Letitbit"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
DisplayVersion = "1.71"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
DisplayIcon = "%Program Files%\SkyMonk\SkyMonk.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
SkyMonk Client
URLInfoAbout = "http://{BLOCKED}k.net"

HKEY_LOCAL_MACHINE\SYSTEM\Software\
Config
BootMS = "26c6e1ec9961b0982d34af1da6023ce0"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
GUID = "{E075FA2D-B296-46DA-A94E-CA1CAA62277D}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
DisplayName = "mail.ru: ????? ? ?????????"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
URL = "http://go.{BLOCKED}l.ru/search?q={searchTerms}&utf8in=1&fr=ietb"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
FaviconURLFallback = "http://go.{BLOCKED}l.ru/favicon.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
ShowSearchSuggestions = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
SuggestionsURL = "http://suggests.{BLOCKED}o.mail.ru/ie8?q={searchTerms}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\SearchScopes
DefaultScope = "{E88E0043-C9D4-4e33-8555-FEE4F5B63060}"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
Layout_ID = "6"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Toolbar
{09900DE8-1DCA-443F-9243-26FF581438AF} = "???????@Mail.Ru"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\URLSearchHooks
{09900DE8-1DCA-443F-9243-26FF581438AF} = "???????@Mail.Ru"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\InprocServer32
ThreadingModel = "Apartment"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{5F768C80-5A23-4172-A085-9509B9C569A3}
AppName = "SputnikHelper.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{5F768C80-5A23-4172-A085-9509B9C569A3}
AppPath = "%Program Files%\Mail.Ru\Sputnik"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{5F768C80-5A23-4172-A085-9509B9C569A3}
Policy = "3"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9E63AAC0-8ED6-4898-AF35-78C60F73B818}
AppName = "SputnikHelper.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9E63AAC0-8ED6-4898-AF35-78C60F73B818}
AppPath = "%Program Files%\Mail.Ru\Sputnik"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9E63AAC0-8ED6-4898-AF35-78C60F73B818}
Policy = "3"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
UninstallString = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
DisplayName = "Mail.Ru ??????? 2.4.0.508"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
Publisher = "Mail.Ru"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
DisplayIcon = "%Program Files%\Mail.Ru\Sputnik\MailRuSputnik_rfrletitbit2_s_mpcln9514.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
InstallLocation = "%Program Files%\Mail.Ru\Sputnik"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
VersionMajor = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
MailRuSputnik
VersionMinor = "4"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
NEW = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
RFR = "letitbit2"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
partner_new_url = "http://{BLOCKED}it.net/additional_stats.php"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
new_sig = "dd2728c2459cd38818297cc0557b7438"

HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru
sputnik_installs = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar
LiteMode = "0"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
FastLinks = "3d"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
ViewSettings = "2b"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
SearchSettings = "2"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
HistorySize = "32"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
UseMailto = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
EnableMusic = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
KeepHistory = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
AppendOnNavigateError = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\SputnikHelper.EXE
AppID = "{BFD1C493-BE73-4660-9924-7C23CF34C11D}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\Mail.Ru\Sputnik\SputnikHelper.exe = "{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\Mail.Ru\Sputnik\SputnikFlashPlayer.exe = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru\
Guard
Language = "ru"

HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru\
Guard
UserGUID = "{E075FA2D-B296-46DA-A94E-CA1CAA62277D}"

HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru
GuardNEW = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Guard.Mail.ru
DisplayIcon = "%Program Files%\Mail.Ru\Guard\GuardMailRu.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Guard.Mail.ru
DisplayName = "Guard.Mail.ru"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Guard.Mail.ru
Publisher = "Mail.ru"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Guard.Mail.ru
UninstallString = "%Program Files%\Mail.Ru\Guard\GuardMailRu.exe /uninstall"

HKEY_CURRENT_USER\Software\Mail.Ru\
Guard\Advertising
DownloadPeriod = "384"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
TrafficJam
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Weather
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Mail
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Odnoklassniki
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
UrlPageRank
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
My
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Money
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\EUR
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings\Informers\
Currency\USD
Enabled = "1"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
ProtectedMode = "0"

HKEY_CURRENT_USER\Software\Mail.Ru\
IE_Bar\Settings
Visible = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}l.ru/cnt/9514"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Toolbar\WebBrowser
ITBarLayout = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

  • %User Temp%\nsa2.tmp\UserInfo.dll
  • %User Temp%\nsa2.tmp\System.dll
  • %User Temp%\nsa2.tmp\modern-header.bmp
  • %User Temp%\nsa2.tmp\nsDialogs.dll
  • %Program Files%\SkyMonk\SkyMonk.exe
  • %Program Files%\SkyMonk\update.exe
  • %Program Files%\SkyMonk\filter.dll
  • %Program Files%\SkyMonk\english.loc
  • %Program Files%\SkyMonk\russian.loc
  • %Program Files%\SkyMonk\skymonk.dat
  • %Program Files%\SkyMonk\uninstall.exe
  • %Start Menu%\Programs\SkyMonk Client\SkyMonk.lnk
  • %Start Menu%\Programs\SkyMonk Client\Uninstall SkyMonk.lnk
  • %Desktop%\SkyMonk.lnk
  • %User Temp%\MailRuSputnik_rfrletitbit2_s_mpcln9514.exe
  • %User Temp%\nsa2.tmp\md5dll.dll
  • %User Temp%\nsa2.tmp\InetLoad.dll
  • %User Temp%\nsn3.tmp
  • %User Temp%\0325569509C4422FB2E30B9B5F226CF9.html
  • %Favorites%\Mail.Ru.url
  • %Favorites%\Mail.Ru ????? - ????????? ??? ???????!.url
  • %Application Data%\Mail.Ru\GoMailRu.ico
  • %Desktop%\?????? ? ?????????.url
  • %Program Files%\Mail.Ru\Sputnik\MailRuSputnik.dll
  • %Program Files%\Mail.Ru\Sputnik\SputnikHelper.exe
  • %Program Files%\Mail.Ru\Sputnik\SputnikFlashPlayer.exe
  • %User Temp%\GuardMailRu.exe
  • %Program Files%\Mail.Ru\Guard\GuardMailRu.exe
  • %User Profile%\{dcd48218-e972-4d0c-9e5f-43462bc13e3b}\{9bed5ee2-0547-4706-8600-d3897629ade0}
  • %Application Data%\Mail.Ru\Sputnik\Pics\btn.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\c_b.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\c_t.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\logo.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\st_d.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\st_u.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\tria.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\trib.gif
  • %Program Files%\Mail.Ru\Sputnik\MailRuSputnik_rfrletitbit2_s_mpcln9514.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}k.net/api/{BLOCKED}k_counter.php
  • http://binupdate.{BLOCKED}l.ru/instant_telem/version2.xml
  • http://mra1.{BLOCKED}l.ru/agent/18
  • http://weather.{BLOCKED}k.mail.ru/inf/{BLOCKED}k_v2.xml?cityid=0&grades=c
  • http://{BLOCKED}lsputnik.{BLOCKED}l.ru/cgi-bin/checknew?sputnik=2
  • http://www.{BLOCKED}assniki.ru/browserToolbarGetData?v=2
  • http://sputnikmaps.{BLOCKED}l.ru/informer/informer.aspx?geocode=0
  • http://{BLOCKED}it.net/additional_stats.php
  • http://mrb.{BLOCKED}l.ru/update/2/version.txt?{random characters}
  • http://inf.{BLOCKED}l.ru/sputnik/rate/sputnik.xml?v=USD,EUR&short=1
  • http://xml.{BLOCKED}y.mail.ru/sputnik

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.200

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

起動中ブラウザのウインドウを全て閉じてください。

手順 4

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • SkyMonk
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
    • SkyMonk Client
  • In HKEY_CLASSES_ROOT\*\shell
    • smonkcli
  • In HKEY_CLASSES_ROOT\*\shell\smonkcli
    • command
  • In HKEY_LOCAL_MACHINE\System\Software
    • Config
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar
    • Settings
  • In HKEY_LOCAL_MACHINE\SOFTWARE
    • Mail.Ru
  • In HKEY_LOCAL_MACHINE\Software\Mail.Ru
    • Guard
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
    • {E88E0043-C9D4-4e33-8555-FEE4F5B63060}
  • In HKEY_CLASSES_ROOT\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}
    • InprocServer32
  • In HKEY_CURRENT_USER
    • MailRuSputnik.MailRuBHO
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MailRuSputnik.MailRuBHO
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MailRuSputnik.MailRuBHO
    • CurVer
  • In HKEY_CURRENT_USER
    • MailRuSputnik.MailRuBHO.1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MailRuSputnik.MailRuBHO.1
    • CLSID
  • In HKEY_CURRENT_USER\CLSID
    • {8984B388-A5BB-4DF7-B274-77B879E179DB}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}
    • InprocServer32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}
    • ProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}
    • Programmable
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}
    • VersionIndependentProgID
  • In HKEY_CURRENT_USER
    • MailRu.MailRuSputnikObj
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MailRu.MailRuSputnikObj
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MailRu.MailRuSputnikObj
    • CurVer
  • In HKEY_CURRENT_USER
    • MailRu.MailRuSputnikObj.1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MailRu.MailRuSputnikObj.1
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}
    • ProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}
    • Programmable
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}
    • VersionIndependentProgID
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy
    • {5F768C80-5A23-4172-A085-9509B9C569A3}
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy
    • {9E63AAC0-8ED6-4898-AF35-78C60F73B818}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
    • MailRuSputnik
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID
    • {BFD1C493-BE73-4660-9924-7C23CF34C11D}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID
    • SputnikHelper.EXE
  • In HKEY_CLASSES_ROOT
    • SputnikHelper.SputnikHelperObj.1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\SputnikHelper.SputnikHelperObj.1
    • CLSID
  • In HKEY_CLASSES_ROOT
    • SputnikHelper.SputnikHelperObj
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\SputnikHelper.SputnikHelperObj
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\SputnikHelper.SputnikHelperObj
    • CurVer
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
    • {D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}
    • ProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}
    • VersionIndependentProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}
    • Programmable
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}
    • LocalServer32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D2D4C0D4-2E88-40D0-A0DB-B8F9AC388529}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
    • {A6024453-8AD2-4424-8C4E-AB8BDE5506B9}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}
    • 1.0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0
    • FLAGS
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0
    • 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0\0
    • win32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A6024453-8AD2-4424-8C4E-AB8BDE5506B9}\1.0
    • HELPDIR
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {2D1384D8-DA46-44FF-8E24-2049552FF9D7}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
    • Guard.Mail.ru
  • In HKEY_CURRENT_USER\Software\Mail.Ru\Guard
    • Advertising
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • City
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • TrafficJam
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Weather
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Stream
  • In HKEY_CURRENT_USER\Software.Ru\IE_Bar\Settings\Informers
    • Mail
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Odnoklassniki
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • SportBox
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Infox
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • News3d
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • USD
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • EUR
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • AUD
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • BYR
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • CAD
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • CHF
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • CNY
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • DKK
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • GBP
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • ISK
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • JPY
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • KZT
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • NOK
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • RUB
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • SEK
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • SGD
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • TRY
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • UAH
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency
    • XDR
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • UrlPageRank
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Provider
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Operator
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • 2Gis
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • My
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • Money
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers
    • mTorrent
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar
    • History
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • FeatureStat

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • Guard.Mail.ru.gui = "%Program Files%\Mail.Ru\Guard\GuardMailRu.exe /gui"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\SkyMonk
    • InstallDir = "%Program Files%\SkyMonk"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • DisplayName = "SkyMonk Client"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • UninstallString = "%Program Files%\SkyMonk\uninstall.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • NoModify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • NoRepair = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • Publisher = "Letitbit"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • DisplayVersion = "1.71"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • DisplayIcon = "%Program Files%\SkyMonk\SkyMonk.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SkyMonk Client
    • URLInfoAbout = "http://{BLOCKED}k.net"
  • In HKEY_LOCAL_MACHINE\SYSTEM\Software\Config
    • BootMS = "26c6e1ec9961b0982d34af1da6023ce0"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • GUID = "{E075FA2D-B296-46DA-A94E-CA1CAA62277D}"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
    • DisplayName = "mail.ru: ????? ? ?????????"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
    • URL = "http://go.{BLOCKED}l.ru/search?q={searchTerms}&utf8in=1&fr=ietb"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
    • FaviconURLFallback = "http://go.{BLOCKED}l.ru/favicon.ico"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
    • ShowSearchSuggestions = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{E88E0043-C9D4-4e33-8555-FEE4F5B63060}
    • SuggestionsURL = "http://suggests.{BLOCKED}o.mail.ru/ie8?q={searchTerms}"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
    • DefaultScope = "{E88E0043-C9D4-4e33-8555-FEE4F5B63060}"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • Layout_ID = "6"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar
    • {09900DE8-1DCA-443F-9243-26FF581438AF} = "???????@Mail.Ru"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks
    • {09900DE8-1DCA-443F-9243-26FF581438AF} = "???????@Mail.Ru"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{09900DE8-1DCA-443F-9243-26FF581438AF}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{5F768C80-5A23-4172-A085-9509B9C569A3}
    • AppName = "SputnikHelper.exe"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{5F768C80-5A23-4172-A085-9509B9C569A3}
    • AppPath = "%Program Files%\Mail.Ru\Sputnik"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{5F768C80-5A23-4172-A085-9509B9C569A3}
    • Policy = "3"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9E63AAC0-8ED6-4898-AF35-78C60F73B818}
    • AppName = "SputnikHelper.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9E63AAC0-8ED6-4898-AF35-78C60F73B818}
    • AppPath = "%Program Files%\Mail.Ru\Sputnik"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9E63AAC0-8ED6-4898-AF35-78C60F73B818}
    • Policy = "3"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • UninstallString = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • DisplayName = "Mail.Ru ??????? 2.4.0.508"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • Publisher = "Mail.Ru"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • DisplayIcon = "%Program Files%\Mail.Ru\Sputnik\MailRuSputnik_rfrletitbit2_s_mpcln9514.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • InstallLocation = "%Program Files%\Mail.Ru\Sputnik"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • VersionMajor = "2"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MailRuSputnik
    • VersionMinor = "4"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • NEW = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • RFR = "letitbit2"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • partner_new_url = "http://{BLOCKED}it.net/additional_stats.php"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • new_sig = "dd2728c2459cd38818297cc0557b7438"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru
    • sputnik_installs = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar
    • LiteMode = "0"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • FastLinks = "3d"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • ViewSettings = "2b"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • SearchSettings = "2"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • HistorySize = "32"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • UseMailto = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • EnableMusic = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • KeepHistory = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • AppendOnNavigateError = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\SputnikHelper.EXE
    • AppID = "{BFD1C493-BE73-4660-9924-7C23CF34C11D}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{2D1384D8-DA46-44FF-8E24-2049552FF9D7}\TypeLib
    • Version = "1.0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Program Files%\Mail.Ru\Sputnik\SputnikHelper.exe = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Program Files%\Mail.Ru\Sputnik\SputnikFlashPlayer.exe = "{random characters}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru\Guard
    • Language = "ru"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru\Guard
    • UserGUID = "{E075FA2D-B296-46DA-A94E-CA1CAA62277D}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Mail.Ru
    • GuardNEW = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Guard.Mail.ru
    • DisplayIcon = "%Program Files%\Mail.Ru\Guard\GuardMailRu.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Guard.Mail.ru
    • DisplayName = "Guard.Mail.ru"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Guard.Mail.ru
    • Publisher = "Mail.ru"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Guard.Mail.ru
    • UninstallString = "%Program Files%\Mail.Ru\Guard\GuardMailRu.exe /uninstall"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\Guard\Advertising
    • DownloadPeriod = "384"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\TrafficJam
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Weather
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Mail
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Odnoklassniki
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\UrlPageRank
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\My
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Money
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency\EUR
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings\Informers\Currency\USD
    • Enabled = "1"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • ProtectedMode = "0"
  • In HKEY_CURRENT_USER\Software\Mail.Ru\IE_Bar\Settings
    • Visible = "1"

手順 6

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
    • From: Start Page = "http://www.{BLOCKED}l.ru/cnt/9514"
      To: Start Page = ""http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome""
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser
    • From: ITBarLayout = "{random values}"
      To: ITBarLayout = ""{random values}""

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\nsa2.tmp\UserInfo.dll
  • %User Temp%\nsa2.tmp\System.dll
  • %User Temp%\nsa2.tmp\modern-header.bmp
  • %User Temp%\nsa2.tmp\nsDialogs.dll
  • %Program Files%\SkyMonk\SkyMonk.exe
  • %Program Files%\SkyMonk\update.exe
  • %Program Files%\SkyMonk\filter.dll
  • %Program Files%\SkyMonk\english.loc
  • %Program Files%\SkyMonk\russian.loc
  • %Program Files%\SkyMonk\skymonk.dat
  • %Program Files%\SkyMonk\uninstall.exe
  • %Start Menu%\Programs\SkyMonk Client\SkyMonk.lnk
  • %Start Menu%\Programs\SkyMonk Client\Uninstall SkyMonk.lnk
  • %Desktop%\SkyMonk.lnk
  • %User Temp%\MailRuSputnik_rfrletitbit2_s_mpcln9514.exe
  • %User Temp%\nsa2.tmp\md5dll.dll
  • %User Temp%\nsa2.tmp\InetLoad.dll
  • %User Temp%\nsn3.tmp
  • %User Temp%\0325569509C4422FB2E30B9B5F226CF9.html
  • %Favorites%\Mail.Ru.url
  • %Favorites%\Mail.Ru ????? - ????????? ??? ???????!.url
  • %Application Data%\Mail.Ru\GoMailRu.ico
  • %Desktop%\?????? ? ?????????.url
  • %Program Files%\Mail.Ru\Sputnik\MailRuSputnik.dll
  • %Program Files%\Mail.Ru\Sputnik\SputnikHelper.exe
  • %Program Files%\Mail.Ru\Sputnik\SputnikFlashPlayer.exe
  • %User Temp%\GuardMailRu.exe
  • %Program Files%\Mail.Ru\Guard\GuardMailRu.exe
  • %User Profile%\{dcd48218-e972-4d0c-9e5f-43462bc13e3b}\{9bed5ee2-0547-4706-8600-d3897629ade0}
  • %Application Data%\Mail.Ru\Sputnik\Pics\btn.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\c_b.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\c_t.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\logo.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\st_d.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\st_u.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\tria.gif
  • %Application Data%\Mail.Ru\Sputnik\Pics\trib.gif
  • %Program Files%\Mail.Ru\Sputnik\MailRuSputnik_rfrletitbit2_s_mpcln9514.exe

手順 8

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\DOCUME~1
  • %System Root%\DOCUME~1\Wilbert
  • %User Profile%\LOCALS~1
  • %User Temp%\nsa2.tmp
  • %Program Files%\SkyMonk
  • %Start Menu%\Programs\SkyMonk Client
  • %Application Data%\Mail.Ru
  • %Program Files%\Mail.Ru
  • %Program Files%\Mail.Ru\Sputnik
  • %Program Files%\Mail.Ru\Guard
  • %User Profile%\Application Data\{DCD48218-E972-4d0c-9E5F-43462BC13E3B}
  • %Application Data%\Mail.Ru\Sputnik
  • %Application Data%\Mail.Ru\Sputnik\Pics

手順 9

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_AGENT.JDSM」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 10

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %User Temp%\nsv1.tmp
  • %User Temp%\nsa2.tmp
  • %User Profile%\{DCD48218-E972-4d0c-9E5F-43462BC13E3B}\{9BED5EE2-0547-4706-8600-D3897629ADE0}


ご利用はいかがでしたか？　アンケートにご協力ください