TROJ_FAKEAV.ESY

2012年10月9日

解析者: Erika Bianca Mendoza

更新者 : Karl Dominguez

プラットフォーム:

Windows 2000, Windows, XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、偽のセキュリティ製品をインストールします。マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。ユーザがソフトウェアの購入に同意すると、マルウェアは、特定のWebサイトにアクセスします。

詳細

ファイルサイズ 286,720 bytes

メモリ常駐はい

発見日 2011年12月10日

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application Data%\{three random characters}.exe

マルウェアは、以下のファイルを作成します。

%Application Data%\2mib87egb1c6o3
%User Temp%\2mib87egb1c6o3
%System Root%\Documents and Settings\All Users\Application Data%\2mib87egb1c6o3

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random numbers} = %Application Data%\{malware file name}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\.exe\DefaultIcon

HKEY_CLASSES_ROOT\.exe\shell

HKEY_CLASSES_ROOT\.exe\shell\
open

HKEY_CLASSES_ROOT\.exe\shell\
open\command

HKEY_CLASSES_ROOT\.exe\shell\
runas

HKEY_CLASSES_ROOT\.exe\shell\
runas\command

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\.exe\DefaultIcon
(default) = %1

HKEY_CLASSES_ROOT\.exe\shell\
open\command
(default) = {malware path and file name} -a "%1" %*

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
(default) = "%1" %*

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = "%1" %*

HKEY_CLASSES_ROOT\exefile
Content Type = application/x-msdownload

HKEY_CLASSES_ROOT\exefile\shell\
open\command
IsolatedCommand = "%1" %*

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DisableNotifications = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CLASSES_ROOT\exefile\shell\
open\command
(default) = {malware path and file name} -a "%1" %*

(註：変更前の上記レジストリ値は、「"%1" %*」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

{BLOCKED}atohov.com
{BLOCKED}gove.com
{BLOCKED}fykylic.com
{BLOCKED}kiduzega.com
{BLOCKED}ovyhana.com
{BLOCKED}gove.com
{BLOCKED}idal.com
{BLOCKED}abamimo.com
{BLOCKED}urinaje.com
{BLOCKED}zeficu.com
{BLOCKED}udetewyny.com
{BLOCKED}ajyqak.com
{BLOCKED}jykok.com
{BLOCKED}bakuxak.com
{BLOCKED}jaw.com
{BLOCKED}azumup.com

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、以下の偽の警告を表示します。

マルウェアは、偽のセキュリティ製品をインストールします。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

ユーザがソフトウェアの購入に同意すると、マルウェアは、購入手続きのために以下のWebサイトにアクセスします。

http://{BLOCKED}ogove.com/buy.html

対応方法

対応検索エンジン: 9.200

初回 VSAPI パターンバージョン 8.642.06

初回 VSAPI パターンリリース日 2011年12月13日

VSAPI OPR パターンバージョン 8.643.00

VSAPI OPR パターンリリース日 2011年12月14日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_FAKEAV.ESY」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

以下の変更されたレジストリ値を VBScript を用いて修正します。 On Error Resume Next Set shl = Wscript.CreateObject("Wscript.Shell") shl.RegWrite "HKCR\exefile\shell\open\command\", """%1"" %*", "REG_SZ" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\AntiVirusOverride", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\FirewallOverride", "0", "REG_DWORD" shl.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall", "1", "REG_DWORD" shl.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DisableNotifications", "0", "REG_DWORD" shl.RegDelete "HKCR\.exe\DefaultIcon\" shl.RegDelete "HKCR\.exe\shell\" shl.RegDelete "HKCR\exefile\Content Type" shl.RegDelete "HKCR\exefile\shell\open\command\IsolatedCommand" shl.RegDelete "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\EnableFirewall" shl.RegDelete "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\DoNotAllowExceptions" shl.RegDelete "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\DisableNotifications" Dim objFSO, objFile, objTextFile Set objFSO = CreateObject("Scripting.FileSystemObject") Set objFile = objFSO.CreateTextFile("wuauserv.reg", True) objFile.WriteLine("Windows Registry Editor Version 5.00") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]") objFile.WriteLine("""Type""=dword:00000020") objFile.WriteLine("""Start""=dword:00000002") objFile.WriteLine("""ErrorControl""=dword:00000001") objFile.WriteLine("""ImagePath""=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00") objFile.WriteLine("""DisplayName""=""Automatic Updates""") objFile.WriteLine("""ObjectName""=""LocalSystem""") objFile.WriteLine("""Description""=""Enables the download and installation of Windows updates. If this service is disabled, this computer will not be able to use the Automatic Updates feature or the Windows Update Web site.""") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters]") objFile.WriteLine("""ServiceDll""=hex(2):43,00,3a,00,5c,00,57,00,49,00,4e,00,44,00,4f,00,57,00,53,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,77,00,75,00,61,00,75,00,73,00,65,00,72,00,76,00,2e,00,64,00,6c,00,6c,00,00,00") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Security]") objFile.WriteLine("""Security""=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Enum]") objFile.WriteLine("""0""=""Root\\LEGACY_WUAUSERV\\0000""") objFile.WriteLine("""Count""=dword:00000001") objFile.WriteLine("""NextInstance""=dword:00000001") objFile.Close intReturn = shl.Run("regedit /s wuauserv.reg", 1, True) Set objFile = objFSO.GetFile("wuauserv.reg") objFile.Delete

変更されたレジストリ値の修正：

「メモ帳」を起動します。
» Windows 2000 および Windows XP、Windows Server 2003の場合、[スタート]-[ファイル名を指定して実行]を選択し、"notepad" と入力し、[OK]をクリックします。
» Windows Vista および Windows 7の場合、[スタート]-[プログラムとファイルの検索]を選択し、"notepad" と入力し、[Enter]キーを押します。
※"notepad" は半角英数字で入力する必要があります。（大文字／小文字は区別されません）。
以下のスクリプトをコピーおよびペーストします。
On Error Resume Next Set shl = Wscript.CreateObject("Wscript.Shell") shl.RegWrite "HKCR\exefile\shell\open\command\", """%1"" %*", "REG_SZ" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\AntiVirusOverride", "0", "REG_DWORD" shl.RegWrite "HKLM\SOFTWARE\Microsoft\Security Center\FirewallOverride", "0", "REG_DWORD" shl.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall", "1", "REG_DWORD" shl.RegWrite "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\DisableNotifications", "0", "REG_DWORD" shl.RegDelete "HKCR\.exe\DefaultIcon\" shl.RegDelete "HKCR\.exe\shell\" shl.RegDelete "HKCR\exefile\Content Type" shl.RegDelete "HKCR\exefile\shell\open\command\IsolatedCommand" shl.RegDelete "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\EnableFirewall" shl.RegDelete "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\DoNotAllowExceptions" shl.RegDelete "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\DisableNotifications" Dim objFSO, objFile, objTextFile Set objFSO = CreateObject("Scripting.FileSystemObject") Set objFile = objFSO.CreateTextFile("wuauserv.reg", True) objFile.WriteLine("Windows Registry Editor Version 5.00") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv]") objFile.WriteLine("""Type""=dword:00000020") objFile.WriteLine("""Start""=dword:00000002") objFile.WriteLine("""ErrorControl""=dword:00000001") objFile.WriteLine("""ImagePath""=hex(2):25,00,73,00,79,00,73,00,74,00,65,00,6d,00,72,00,6f,00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,6b,00,20,00,6e,00,65,00,74,00,73,00,76,00,63,00,73,00,00,00") objFile.WriteLine("""DisplayName""=""Automatic Updates""") objFile.WriteLine("""ObjectName""=""LocalSystem""") objFile.WriteLine("""Description""=""Enables the download and installation of Windows updates. If this service is disabled, this computer will not be able to use the Automatic Updates feature or the Windows Update Web site.""") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters]") objFile.WriteLine("""ServiceDll""=hex(2):43,00,3a,00,5c,00,57,00,49,00,4e,00,44,00,4f,00,57,00,53,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,77,00,75,00,61,00,75,00,73,00,65,00,72,00,76,00,2e,00,64,00,6c,00,6c,00,00,00") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Security]") objFile.WriteLine("""Security""=hex:01,00,14,80,90,00,00,00,9c,00,00,00,14,00,00,00,30,00,00,00,02,00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,00,00,02,00,60,00,04,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,00,18,00,fd,01,02,00,01,02,00,00,00,00,00,05,20,00,00,00,23,02,00,00,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,00,00,00") objFile.WriteLine("[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Enum]") objFile.WriteLine("""0""=""Root\\LEGACY_WUAUSERV\\0000""") objFile.WriteLine("""Count""=dword:00000001") objFile.WriteLine("""NextInstance""=dword:00000001") objFile.Close intReturn = shl.Run("regedit /s wuauserv.reg", 1, True) Set objFile = objFSO.GetFile("wuauserv.reg") objFile.Delete
このファイルを "C:\RESTORE.VBS" として保存します。
"C:\RESTORE.VBS" を実行します。
» For Windows 2000, XP, and Server 2003 users, click Start>Run. In the Open input box, type C:\RESTORE.VBS then press Enter.
» Windows 2000 および Windows XP、Windows Server 2003の場合、[スタート]-[ファイル名を指定して実行]を選択し、"C:\RESTORE.VBS" と入力し、[OK]をクリックします。
» Windows Vista および Windows 7の場合、[スタート]-[プログラムとファイルの検索]を選択し、"C:\RESTORE.VBS" と入力し、[Enter]キーを押します。
※"notepad" は半角英数字で入力する必要があります。（大文字／小文字は区別されません）。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random numbers} = %Application Data%\{malware file name}.exe

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Application Data%\2mib87egb1c6o3
%User Temp%\2mib87egb1c6o3
%System Root%\Documents and Settings\All Users\Application Data%\2mib87egb1c6o3

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_FAKEAV.ESY」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください

TROJ_FAKEAV.ESY

概要

詳細

対応方法

関連ブログ記事