TROJ_FAKEAV.SMHB

2012年10月9日

解析者: kathleenno

別名:

Rogue:Win32/Winwebsec (Microsoft); FakeAlert-SecurityTool.bt (Mcafee)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

マルウェアマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

詳細

ファイルサイズ 385,024 bytes

タイプ EXE

メモリ常駐はい

発見日 2011年7月29日

ペイロード情報収集, メッセージボックスの表示, ファイルのダウンロード

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

TROJ_BREDO.NEW

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}.exe

マルウェアは、以下の無害なファイルを作成します。

C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}

マルウェアは、以下のフォルダを作成します。

C:\Documents and Settings\All Users\Application Data\{random folder name}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random file name} = C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}.exe

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

http://{BLOCKED}2.{BLOCKED}2.67.200/api/urls/?affid=11000
http://{BLOCKED}2.{BLOCKED}2.67.200/api/stats/install/1004/11000

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

http://{BLOCKED}2.{BLOCKED}4.4.134/{random}.exe?affid=11000 - detected as TROJ_FAKESYS.HBB

その他

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、以下を除く実行ファイルの実行を妨げます。

aeadisrv.exe

alg.exe

audiodg.exe

conhost.exe

csrss.exe

ctfmon.exe

dwm.exe

explorer.exe

firefox.exe

httpd.exe

iastordatamgrsvc.exe

iexplore.exe

lsass.exe

lsm.exe

mdnsresponder.exe

mfnsvc.exe

nvscpapisvr.exe

nvsvc.exe

nvvsvc.exe

opera.exe

pdagent.exe

rundll32.exe

searchindexer.exe

services.exe

slsvc.exe

smss.exe

snort.exe

spoolsv.exe

svchost.exe

taskhost.exe

wininit.exe

winlogon.exe

winroute.exe

wmiprvse.exe

wscntfy.exe

wuauclt.exe

マルウェアは、以下のGraphical User Interface（GUI）を表示します。

ユーザが、提示された脅威を取り除くことに同意するボタンをクリックすると、以下が表示されます。

ユーザが、セキュリティソフトの起動に同意すると、以下が表示されます。

そしてユーザは、以下の情報を収集されることとなります。

クレジットカードに関する情報（カードタイプ、クレジットカードの番号、有効期限、名前）
連絡先に関する情報（Eメールアドレス、ユーザの所在国、住所、電話番号）

収集された情報は、以下のWebサイトに送信されます。

{BLOCKED}e.{BLOCKED}stpayplus.com

対応方法

対応検索エンジン: 8.900

VSAPI OPR パターンバージョン 8.319.00

VSAPI OPR パターンリリース日 2011年7月29日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

以下のフォルダを検索し削除します。

[ 詳細 ]

註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

C:\Documents and Settings\All Users\Application Data\{random folder name}

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- {random file name} = "C:\Documents and Settings\All Users\Application Data\{random folder name}\{random file name}.exe"

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_FAKEAV.SMHB」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_FAKEAV.SMHB」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

「TROJ_FAKEAV.SMHB」を作成またはダウンロードする不正なファイルを削除します。

TROJ_BREDO.NEW

ご利用はいかがでしたか？　アンケートにご協力ください

TROJ_FAKEAV.SMHB

概要

詳細

対応方法

関連マルウェア