Trend Micro Security

TROJ_DLOADR.BGI

2012年10月13日
 別名:

Trojan.Win32.Generic!BT (Sunbelt)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 1,820,744 bytes
タイプ EXE
メモリ常駐 なし
発見日 2012年6月12日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

  • %System Root%\DOCUME~1
  • %System Root%\DOCUME~1\Wilbert
  • %User Profile%\LOCALS~1
  • %User Temp%\nsu3.tmp
  • %Program Files%\Codec-V
  • %System Root%\Documents and Settings\Wilbert
  • %Application Data%\Codec-V
  • %Application Data%\Codec-V\Chrome
  • %User Profile%\CryptnetUrlCache\MetaData
  • %User Profile%\Microsoft\CryptnetUrlCache
  • %User Profile%\CryptnetUrlCache\Content

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

マルウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{11111111-1111-1111-1111-110011041135}

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %User Temp%\nso1.tmp
  • %User Temp%\nsu3.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Crossrider

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Ext\
PreApproved\{11111111-1111-1111-1111-110011041135}

HKEY_LOCAL_MACHINE\Software\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Ext\PreApproved\{11111111-1111-1111-1111-110011041135}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V

HKEY_CURRENT_USER\Software\Codec-V\
Installer

HKEY_LOCAL_MACHINE\Software\Google\
Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho

HKEY_LOCAL_MACHINE\Software\Wow6432Node\
Google\Chrome\Extensions\
jpnbdefcbnoefmmcpelplabbkfmfhlho

HKEY_CLASSES_ROOT\CrossriderApp0000435.Sandbox.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.Sandbox.1\CLSID

HKEY_CLASSES_ROOT\CrossriderApp0000435.BHO.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.BHO.1\CLSID

HKEY_CLASSES_ROOT\CrossriderApp0000435.Sandbox

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.Sandbox\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.Sandbox\CurVer

HKEY_CLASSES_ROOT\CrossriderApp0000435.BHO

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.BHO\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.BHO\CurVer

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}\TypeLib

HKEY_CLASSES_ROOT\CrossriderApp0000435.FBApi.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.FBApi.1\CLSID

HKEY_CLASSES_ROOT\CrossriderApp0000435.FBApi

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.FBApi\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CrossriderApp0000435.FBApi\CurVer

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044044435}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044044435}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044044435}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044044435}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044044435}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{44444444-4444-4444-4444-440044044435}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{55555555-5555-5555-5555-550055045535}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{55555555-5555-5555-5555-550055045535}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{55555555-5555-5555-5555-550055045535}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{55555555-5555-5555-5555-550055045535}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{66666666-6666-6666-6666-660066046635}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{66666666-6666-6666-6666-660066046635}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{66666666-6666-6666-6666-660066046635}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{66666666-6666-6666-6666-660066046635}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{77777777-7777-7777-7777-770077047735}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{77777777-7777-7777-7777-770077047735}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{77777777-7777-7777-7777-770077047735}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{77777777-7777-7777-7777-770077047735}\TypeLib

HKEY_CURRENT_USER\Software\Codec-V\
Log

HKEY_CURRENT_USER\Software\Crossrider\
Testing

HKEY_CURRENT_USER\Software\Codec-V\
Manifest

HKEY_CURRENT_USER\Software\Codec-V\
Plugins

HKEY_CURRENT_USER\Software\Codec-V\
Plugins\13

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Crossrider
Bic = "94CB6609C16C4BFB8AE9E1CF3B86F40EIE"

HKEY_CURRENT_USER\Software\Crossrider
Verifier = "3ea58d80de3bc3c0ebc20b223f4a3671"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
AppName = "Codec-V.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
AppPath = "%Program Files%\Codec-V"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Low Rights\ElevationPolicy\
{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
Policy = "3"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V
DisplayName = "Codec-V"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V
DisplayIcon = "%Program Files%\Codec-V\Uninstall.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V
DisplayVersion = "1.15.149.149"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V
Publisher = "Premiumplay"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V
CrPublisherId = "209"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
Codec-V
UninstallString = "%Program Files%\Codec-V\Uninstall.exe"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
srcid = "0"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
subid = "0"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
zdata = "0"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
PlatformVersion = "1"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
ScriptVersion = "15"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
FullVersion = "1_15_149_149"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
Folder = "%Program Files%\Codec-V"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
BundledFirefox = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Google\
Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho
path = "%Application Data%\Codec-V\Chrome\Codec-V.crx"

HKEY_LOCAL_MACHINE\SOFTWARE\Google\
Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho
version = "1.17.48"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Google\Chrome\Extensions\
jpnbdefcbnoefmmcpelplabbkfmfhlho
path = "%Application Data%\Codec-V\Chrome\Codec-V.crx"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Google\Chrome\Extensions\
jpnbdefcbnoefmmcpelplabbkfmfhlho
version = "1.17.48"

HKEY_CURRENT_USER\Software\Codec-V\
Installer
BundledChrome = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{11111111-1111-1111-1111-110011041135}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{22222222-2222-2222-2222-220022042235}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{11111111-1111-1111-1111-110011041135}
NoExplorer = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{33333333-3333-3333-3333-330033043335}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{55555555-5555-5555-5555-550055045535}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{66666666-6666-6666-6666-660066046635}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{77777777-7777-7777-7777-770077047735}\TypeLib
Version = "1.0"

HKEY_CURRENT_USER\Software\Codec-V\
Log
LogFilesFolder = "%User Profile%\My Documents"

HKEY_CURRENT_USER\Software\Codec-V\
Log
WriteHelperLogFile = "0"

HKEY_CURRENT_USER\Software\Codec-V
HelperRunningVersion = "149"

HKEY_CURRENT_USER\Software\Crossrider\
Testing
IsTesting = "0"

HKEY_CURRENT_USER\Software\Codec-V\
Manifest
Version = "0"

HKEY_CURRENT_USER\Software\Codec-V\
Plugins
PluginsManifestVersion = "0"

HKEY_CURRENT_USER\Software\Codec-V\
Plugins\10
Version = "2"

HKEY_CURRENT_USER\Software\Codec-V\
Plugins\10
Name = "app_435_specific"

HKEY_CURRENT_USER\Software\Codec-V\
Plugins\10
JavaScript = "{random characters}"

HKEY_CURRENT_USER\Software\Codec-V\
Plugins\13
Version = "1"

HKEY_CURRENT_USER\Software\Codec-V\
Plugins\13
Name = "CrossriderAppUtils"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\CA\Certificates\
189271E573FED295A8C130EAF357A20C4A9F115E
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EF2E6670AC9B5091FE06BE0E5483EAAD6BA32D9
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4C95A9902ABE0777CED18D6ACCC3372D2748381E
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4BA7B9DDD68788E12FF852E1A024204BF286A8F6
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4B421F7515F6AE8A6ECEF97F6982A400A4D9224E
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
47AFB915CDA26D82467B97FA42914468726138DD
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4463C531D7CCC1006794612BB656D3BF8257846F
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
43F9B110D5BAFD48225231B0D0082B372FEF9A54
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
43DDB1FFF3B49B73831407F6BC8B975023D07C50
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
40E78C1D523D1CD9954FAC1A1AB3BD3CBAA15BFC
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4072BA31FEC351438480F62E6CB95508461EAB2F
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
3F85F2BB4A62B0B58BE1614ABB0D4631B4BEF8BA
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
394FF6850B06BE52E51856CC10E180E882B385CC
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
36863563FD5128C7BEA6F005CFE9B43668086CCE
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
317A2AD07F2B335EF5A1C34E4B57E8B7D8F1FCA6
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
2F173F7DE99667AFA57AF80AA2D1B12FAC830338
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
284F55C41A1A7A3F8328D4C262FB376ED6096F24
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
273EE12457FDC4F90C55E82B56167F62F532E547
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
24BA6D6C8A5B5837A48DB5FAE919EA675C94D217
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
24A40A1F573643A67F0A4B0749F6A22BF28ABB6B
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
23E594945195F2414803B4D564D2A3A3F5D88B8C
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
216B2A29E62A00CE820146D8244141B92511B279
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
209900B63D955728140CD13622D8C687A4EB0085
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
1F55E8839BAC30728BE7108EDE7B0BB0D3298224
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
1331F48A5DA8E01DAACA1BB0C17044ACFEF755BB
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
0B77BEBBCB7AA24705DECC0FBD6A02FC7ABD9B52
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
049811056AFE9FD0F5BE01685AACE6A5D1C4454C
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
0483ED3399AC3608058722EDBC5E4600E3BEF9D7
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
00EA522C8A9C06AA3ECCE0B4FA6CDC21D92E8099
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
0048F8D37B153F6EA2798C323EF4F318A5624A9E
Blob = "{random values}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

  • %User Temp%\nse2.tmp
  • %User Temp%\nsu3.tmp\StdUtils.dll
  • %User Temp%\nsu3.tmp\System.dll
  • %User Temp%\nsu3.tmp\nsislog.dll
  • %User Temp%\Codec-VInstaller_1339450254.log
  • %User Temp%\nsu3.tmp\Dialer.dll
  • %User Temp%\nsu3.tmp\nsisos.dll
  • %User Temp%\nsu3.tmp\md5dll.dll
  • %User Temp%\nsu3.tmp\UserInfo.dll
  • %User Temp%\nsu3.tmp\inetc.dll
  • %User Temp%\nsu3.tmp\435_tmp
  • %User Temp%\nsu3.tmp\Processes.dll
  • %Program Files%\Codec-V\Codec-V.exe
  • %Program Files%\Codec-V\Codec-VGui.exe
  • %Program Files%\Codec-V\Codec-V.dll
  • %Program Files%\Codec-V\Codec-V.ico
  • %Program Files%\Codec-V\Uninstall.exe
  • %User Temp%\nsu3.tmp\ExecDos.dll
  • %User Temp%\nsu3.tmp\Codec-V.xpi
  • %Application Data%\Codec-V\Chrome\Codec-V.crx
  • %User Temp%\nsu3.tmp\RemoveFromList.vbs
  • %User Temp%\nsp4.tmp
  • %User Temp%\nsu3.tmp\CleanChromePrefs.vbs
  • %User Temp%\nsa5.tmp
  • %User Profile%\MetaData\135BD6A358680A7BF1CCEC7C0172393D
  • %User Profile%\Content\135BD6A358680A7BF1CCEC7C0172393D
  • %User Profile%\MetaData\2BF68F4714092295550497DD56F57004
  • %User Profile%\Content\2BF68F4714092295550497DD56F57004
  • %User Profile%\MetaData\94308059B57B3142E455B38A6EB92015
  • %User Profile%\Content\94308059B57B3142E455B38A6EB92015
  • %User Temp%\Cab6.tmp
  • %User Temp%\Tar7.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://stats.{BLOCKED}ider.com/installer.gif?{random characters}
  • http://stats.{BLOCKED}ider.com/ie-error.gif?{random characters}

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.200

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

起動中ブラウザのウインドウを全て閉じてください。

手順 3

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software
    • Crossrider
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved
    • {11111111-1111-1111-1111-110011041135}
  • In HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Ext\PreApproved
    • {11111111-1111-1111-1111-110011041135}
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy
    • {9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
    • Codec-V
  • In HKEY_CURRENT_USER\Software\Codec-V
    • Installer
  • In HKEY_LOCAL_MACHINE\Software\Google\Chrome\Extensions
    • jpnbdefcbnoefmmcpelplabbkfmfhlho
  • In HKEY_LOCAL_MACHINE\Software\Wow6432Node\Google\Chrome\Extensions
    • jpnbdefcbnoefmmcpelplabbkfmfhlho
  • In HKEY_CLASSES_ROOT
    • CrossriderApp0000435.Sandbox.1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.Sandbox.1
    • CLSID
  • In HKEY_CLASSES_ROOT
    • CrossriderApp0000435.BHO.1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.BHO.1
    • CLSID
  • In HKEY_CLASSES_ROOT
    • CrossriderApp0000435.Sandbox
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.Sandbox
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.Sandbox
    • CurVer
  • In HKEY_CLASSES_ROOT
    • CrossriderApp0000435.BHO
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.BHO
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.BHO
    • CurVer
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
    • {11111111-1111-1111-1111-110011041135}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110011041135}
    • ProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110011041135}
    • VersionIndependentProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110011041135}
    • Programmable
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110011041135}
    • InprocServer32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110011041135}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
    • {22222222-2222-2222-2222-220022042235}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220022042235}
    • ProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220022042235}
    • VersionIndependentProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220022042235}
    • Programmable
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220022042235}
    • InprocServer32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220022042235}
    • TypeLib
  • In HKEY_CLASSES_ROOT
    • CrossriderApp0000435.FBApi.1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.FBApi.1
    • CLSID
  • In HKEY_CLASSES_ROOT
    • CrossriderApp0000435.FBApi
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.FBApi
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CrossriderApp0000435.FBApi
    • CurVer
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
    • {33333333-3333-3333-3333-330033043335}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33333333-3333-3333-3333-330033043335}
    • ProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33333333-3333-3333-3333-330033043335}
    • VersionIndependentProgID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33333333-3333-3333-3333-330033043335}
    • Programmable
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33333333-3333-3333-3333-330033043335}
    • InprocServer32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33333333-3333-3333-3333-330033043335}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
    • {44444444-4444-4444-4444-440044044435}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{44444444-4444-4444-4444-440044044435}
    • 1.0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{44444444-4444-4444-4444-440044044435}\1.0
    • FLAGS
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{44444444-4444-4444-4444-440044044435}\1.0
    • 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{44444444-4444-4444-4444-440044044435}\1.0\0
    • win32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{44444444-4444-4444-4444-440044044435}\1.0
    • HELPDIR
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {55555555-5555-5555-5555-550055045535}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{55555555-5555-5555-5555-550055045535}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{55555555-5555-5555-5555-550055045535}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{55555555-5555-5555-5555-550055045535}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {66666666-6666-6666-6666-660066046635}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660066046635}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660066046635}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660066046635}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {77777777-7777-7777-7777-770077047735}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{77777777-7777-7777-7777-770077047735}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{77777777-7777-7777-7777-770077047735}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{77777777-7777-7777-7777-770077047735}
    • TypeLib
  • In HKEY_CURRENT_USER\Software\Codec-V
    • Log
  • In HKEY_CURRENT_USER\Software\Crossrider
    • Testing
  • In HKEY_CURRENT_USER\Software\Codec-V
    • Manifest
  • In HKEY_CURRENT_USER\Software\Codec-V
    • Plugins
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins
    • 13

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Crossrider
    • Bic = "94CB6609C16C4BFB8AE9E1CF3B86F40EIE"
  • In HKEY_CURRENT_USER\Software\Crossrider
    • Verifier = "3ea58d80de3bc3c0ebc20b223f4a3671"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
    • AppName = "Codec-V.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
    • AppPath = "%Program Files%\Codec-V"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9a5bfd40-08bc-012f-81b7-073cf1b8f7c6}
    • Policy = "3"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Codec-V
    • DisplayName = "Codec-V"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Codec-V
    • DisplayIcon = "%Program Files%\Codec-V\Uninstall.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Codec-V
    • DisplayVersion = "1.15.149.149"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Codec-V
    • Publisher = "Premiumplay"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Codec-V
    • CrPublisherId = "209"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Codec-V
    • UninstallString = "%Program Files%\Codec-V\Uninstall.exe"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • srcid = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • subid = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • zdata = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • PlatformVersion = "1"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • ScriptVersion = "15"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • FullVersion = "1_15_149_149"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • Folder = "%Program Files%\Codec-V"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • BundledFirefox = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Google\Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho
    • path = "%Application Data%\Codec-V\Chrome\Codec-V.crx"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Google\Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho
    • version = "1.17.48"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho
    • path = "%Application Data%\Codec-V\Chrome\Codec-V.crx"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\jpnbdefcbnoefmmcpelplabbkfmfhlho
    • version = "1.17.48"
  • In HKEY_CURRENT_USER\Software\Codec-V\Installer
    • BundledChrome = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11111111-1111-1111-1111-110011041135}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220022042235}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110011041135}
    • NoExplorer = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33333333-3333-3333-3333-330033043335}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{55555555-5555-5555-5555-550055045535}\TypeLib
    • Version = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660066046635}\TypeLib
    • Version = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{77777777-7777-7777-7777-770077047735}\TypeLib
    • Version = "1.0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Log
    • LogFilesFolder = "%User Profile%\My Documents"
  • In HKEY_CURRENT_USER\Software\Codec-V\Log
    • WriteHelperLogFile = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V
    • HelperRunningVersion = "149"
  • In HKEY_CURRENT_USER\Software\Crossrider\Testing
    • IsTesting = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Manifest
    • Version = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins
    • PluginsManifestVersion = "0"
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins\10
    • Version = "2"
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins\10
    • Name = "app_435_specific"
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins\10
    • JavaScript = "{random characters}"
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins\13
    • Version = "1"
  • In HKEY_CURRENT_USER\Software\Codec-V\Plugins\13
    • Name = "CrossriderAppUtils"

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\CA\Certificates\189271E573FED295A8C130EAF357A20C4A9F115E
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4EF2E6670AC9B5091FE06BE0E5483EAAD6BA32D9
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4C95A9902ABE0777CED18D6ACCC3372D2748381E
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4BA7B9DDD68788E12FF852E1A024204BF286A8F6
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4B421F7515F6AE8A6ECEF97F6982A400A4D9224E
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\47AFB915CDA26D82467B97FA42914468726138DD
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4463C531D7CCC1006794612BB656D3BF8257846F
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\43F9B110D5BAFD48225231B0D0082B372FEF9A54
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\43DDB1FFF3B49B73831407F6BC8B975023D07C50
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\40E78C1D523D1CD9954FAC1A1AB3BD3CBAA15BFC
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\4072BA31FEC351438480F62E6CB95508461EAB2F
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\3F85F2BB4A62B0B58BE1614ABB0D4631B4BEF8BA
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\394FF6850B06BE52E51856CC10E180E882B385CC
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\36863563FD5128C7BEA6F005CFE9B43668086CCE
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\317A2AD07F2B335EF5A1C34E4B57E8B7D8F1FCA6
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2F173F7DE99667AFA57AF80AA2D1B12FAC830338
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\284F55C41A1A7A3F8328D4C262FB376ED6096F24
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\273EE12457FDC4F90C55E82B56167F62F532E547
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\24BA6D6C8A5B5837A48DB5FAE919EA675C94D217
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\24A40A1F573643A67F0A4B0749F6A22BF28ABB6B
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\23E594945195F2414803B4D564D2A3A3F5D88B8C
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\216B2A29E62A00CE820146D8244141B92511B279
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\209900B63D955728140CD13622D8C687A4EB0085
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\1F55E8839BAC30728BE7108EDE7B0BB0D3298224
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\1331F48A5DA8E01DAACA1BB0C17044ACFEF755BB
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0B77BEBBCB7AA24705DECC0FBD6A02FC7ABD9B52
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\049811056AFE9FD0F5BE01685AACE6A5D1C4454C
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0483ED3399AC3608058722EDBC5E4600E3BEF9D7
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\00EA522C8A9C06AA3ECCE0B4FA6CDC21D92E8099
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0048F8D37B153F6EA2798C323EF4F318A5624A9E
    • From: Blob = "{random values}"
      To: Blob = ""{random values}""

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\nse2.tmp
  • %User Temp%\nsu3.tmp\StdUtils.dll
  • %User Temp%\nsu3.tmp\System.dll
  • %User Temp%\nsu3.tmp\nsislog.dll
  • %User Temp%\Codec-VInstaller_1339450254.log
  • %User Temp%\nsu3.tmp\Dialer.dll
  • %User Temp%\nsu3.tmp\nsisos.dll
  • %User Temp%\nsu3.tmp\md5dll.dll
  • %User Temp%\nsu3.tmp\UserInfo.dll
  • %User Temp%\nsu3.tmp\inetc.dll
  • %User Temp%\nsu3.tmp\435_tmp
  • %User Temp%\nsu3.tmp\Processes.dll
  • %Program Files%\Codec-V\Codec-V.exe
  • %Program Files%\Codec-V\Codec-VGui.exe
  • %Program Files%\Codec-V\Codec-V.dll
  • %Program Files%\Codec-V\Codec-V.ico
  • %Program Files%\Codec-V\Uninstall.exe
  • %User Temp%\nsu3.tmp\ExecDos.dll
  • %User Temp%\nsu3.tmp\Codec-V.xpi
  • %Application Data%\Codec-V\Chrome\Codec-V.crx
  • %User Temp%\nsu3.tmp\RemoveFromList.vbs
  • %User Temp%\nsp4.tmp
  • %User Temp%\nsu3.tmp\CleanChromePrefs.vbs
  • %User Temp%\nsa5.tmp
  • %User Profile%\MetaData\135BD6A358680A7BF1CCEC7C0172393D
  • %User Profile%\Content\135BD6A358680A7BF1CCEC7C0172393D
  • %User Profile%\MetaData\2BF68F4714092295550497DD56F57004
  • %User Profile%\Content\2BF68F4714092295550497DD56F57004
  • %User Profile%\MetaData\94308059B57B3142E455B38A6EB92015
  • %User Profile%\Content\94308059B57B3142E455B38A6EB92015
  • %User Temp%\Cab6.tmp
  • %User Temp%\Tar7.tmp

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\DOCUME~1
  • %System Root%\DOCUME~1\Wilbert
  • %User Profile%\LOCALS~1
  • %User Temp%\nsu3.tmp
  • %Program Files%\Codec-V
  • %System Root%\Documents and Settings\Wilbert
  • %Application Data%\Codec-V
  • %Application Data%\Codec-V\Chrome
  • %User Profile%\CryptnetUrlCache\MetaData
  • %User Profile%\Microsoft\CryptnetUrlCache
  • %User Profile%\CryptnetUrlCache\Content

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_DLOADR.BGI」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %User Temp%\nso1.tmp
  • %User Temp%\nsu3.tmp


ご利用はいかがでしたか？　アンケートにご協力ください