TROJ_CARBERP.YUV
Trojan:Win32/Carberp.I (Microsoft)
Windows
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。
- %Program Files%\NVIDIA Corporation\Updates\NvdUpd.exe
(註:%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- MD7H82HHF7EH2D73
自動実行方法
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
Type = "16"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
ErrorControl = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
ImagePath = "%Program Files%\NVIDIA Corporation\Updates\NvdUpd.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
DisplayName = "NVIDIA Update Server"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
Description = "NVIDIA Settings Update Manager service, used to check new updates from NVIDIA server"
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NvUpdSrv
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\NVIDIA Corporation\
Global\nvUpdSrv
value = {malware version}
HKEY_CURRENT_USER\Software\NVIDIA Corporation\
Global\nvUpdSrv
GUID = {GUID}
マルウェアは、インストールの過程で、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\SOFTWARE\NVIDIA Corporation\
Global\nvUpdSrv
ダウンロード活動
マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。
- {BLOCKED}.{BLOCKED}.96.102:37174
- {BLOCKED}.{BLOCKED}.220.132:27092
- {BLOCKED}.{BLOCKED}.204.10:38102
- {BLOCKED}.{BLOCKED}.208.82:45297
- {BLOCKED}.{BLOCKED}.30.226:19413
- {BLOCKED}.{BLOCKED}.149.204:39836
- {BLOCKED}.{BLOCKED}.94.2:11754
- {BLOCKED}.{BLOCKED}.165.191:49996
- {BLOCKED}.{BLOCKED}.200.88:21160
- {BLOCKED}.{BLOCKED}.253.1:22357
- {BLOCKED}.{BLOCKED}.1.99:27501
- {BLOCKED}.{BLOCKED}.97.176:12448
- {BLOCKED}.{BLOCKED}.68.55:45217
- {BLOCKED}.{BLOCKED}.36.128:15206
- {BLOCKED}.{BLOCKED}.36.253:51376
- {BLOCKED}.{BLOCKED}.11.50:47646
- {BLOCKED}.{BLOCKED}.54.68:43992
- {BLOCKED}.{BLOCKED}.29.128:45297
- {BLOCKED}.{BLOCKED}.177.172:31780
- {BLOCKED}.{BLOCKED}.120.34:38874
- {BLOCKED}.{BLOCKED}.114.130:37612
- {BLOCKED}.{BLOCKED}.18.179:48105
- {BLOCKED}.{BLOCKED}.19.26:45297
- {BLOCKED}.{BLOCKED}.22.130:49994
- {BLOCKED}.{BLOCKED}.205.163:25549
- {BLOCKED}.{BLOCKED}.119.254:38354
- {BLOCKED}.{BLOCKED}.1.106:27042
- {BLOCKED}.{BLOCKED}.221.25:22903
- {BLOCKED}.{BLOCKED}.33.126:42386
- {BLOCKED}.{BLOCKED}.246.12:42436
- {BLOCKED}.{BLOCKED}.11.246:35535
- {BLOCKED}.{BLOCKED}.243.24:28873
- {BLOCKED}.{BLOCKED}.35.170:52112
- {BLOCKED}.{BLOCKED}.50.26:15745
- {BLOCKED}.{BLOCKED}.142.203:23237
- {BLOCKED}.{BLOCKED}.177.4:18532
- {BLOCKED}.{BLOCKED}.245.1:35971
- {BLOCKED}.{BLOCKED}.175.20:10934
- {BLOCKED}.{BLOCKED}.117.15:39361
- {BLOCKED}.{BLOCKED}.103.43:58207
- {BLOCKED}.{BLOCKED}.59.2:26195
- {BLOCKED}.{BLOCKED}.138.226:31973
- {BLOCKED}.{BLOCKED}.96.130:49649
- {BLOCKED}.{BLOCKED}.58.68:23480
- {BLOCKED}.{BLOCKED}.48.52:41628
- {BLOCKED}.{BLOCKED}.192.230:26666
- {BLOCKED}.{BLOCKED}.162.167:25833
- {BLOCKED}.{BLOCKED}.168.90:39862
- {BLOCKED}.{BLOCKED}.64.106:31571
- {BLOCKED}.{BLOCKED}.19.107:25189
- {BLOCKED}.{BLOCKED}.199.63:28062
- {BLOCKED}.{BLOCKED}.168.2:33879
- {BLOCKED}.{BLOCKED}.46.11:38597
- {BLOCKED}.{BLOCKED}.130.99:17325
- {BLOCKED}.{BLOCKED}.252.200:57136
- {BLOCKED}.{BLOCKED}.25.183:49205
- {BLOCKED}.{BLOCKED}.113.104:22237
- {BLOCKED}.{BLOCKED}.103.103:37127
- {BLOCKED}.{BLOCKED}.127.10:33754
- {BLOCKED}.{BLOCKED}.163.130:60098
- {BLOCKED}.{BLOCKED}.77.28:27190
- {BLOCKED}.{BLOCKED}.45.71:58914
- {BLOCKED}.{BLOCKED}.153.122:49891
- {BLOCKED}.{BLOCKED}.67.39:24247
- {BLOCKED}.{BLOCKED}.227.159:27247
- {BLOCKED}.{BLOCKED}.130.200:53127
- {BLOCKED}.{BLOCKED}.154.163:20909
- {BLOCKED}.{BLOCKED}.154.220:53818
- {BLOCKED}.{BLOCKED}.216.174:49126
- {BLOCKED}.{BLOCKED}.218.223:27571
- {BLOCKED}.{BLOCKED}.224.78:53872
- {BLOCKED}.{BLOCKED}.144.91:36139
- {BLOCKED}.{BLOCKED}.56.90:10703
- {BLOCKED}.{BLOCKED}.11.122:49021
- {BLOCKED}.{BLOCKED}.150.216:32136
- {BLOCKED}.{BLOCKED}.87.23:51447
- {BLOCKED}.{BLOCKED}.88.151:24423
- {BLOCKED}.{BLOCKED}.90.218:22740
- {BLOCKED}.{BLOCKED}.131.36:33376
- {BLOCKED}.{BLOCKED}.81.228:22516
- {BLOCKED}.{BLOCKED}.54.252:21580
- {BLOCKED}.{BLOCKED}.32.228:48439
- {BLOCKED}.{BLOCKED}.138.14:10579
- {BLOCKED}.{BLOCKED}.118.90:35535
- {BLOCKED}.{BLOCKED}.70.56:38271
- {BLOCKED}.{BLOCKED}.20.226:54127
- {BLOCKED}.{BLOCKED}.59.99:30577
- {BLOCKED}.{BLOCKED}.236.54:48439
- {BLOCKED}.{BLOCKED}.246.219:22887
- {BLOCKED}.{BLOCKED}.138.200:18150
- {BLOCKED}.{BLOCKED}.77.246:51841
- {BLOCKED}.{BLOCKED}.132.9:26175
- {BLOCKED}.{BLOCKED}.20.202:36102
- {BLOCKED}.{BLOCKED}.61.112:44032
- {BLOCKED}.{BLOCKED}.232.51:18532
- {BLOCKED}.{BLOCKED}.195.47:59899
- {BLOCKED}.{BLOCKED}.118.2:54091
- {BLOCKED}.{BLOCKED}.196.61:58186
- {BLOCKED}.{BLOCKED}.229.120:16493
- {BLOCKED}.{BLOCKED}.198.136:44440
- {BLOCKED}.{BLOCKED}.156.146:23097
- {BLOCKED}.{BLOCKED}.97.86:11982
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- NvUpdSrv
- NvUpdSrv
- In HKEY_CURRENT_USER\SOFTWARE\NVIDIA Corporation\Global
- nvUpdSrv
- nvUpdSrv
手順 5
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「TROJ_CARBERP.YUV」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください