TROJ_NECONYD.AQ

2013年12月13日

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 106,496 bytes

タイプ EXE

メモリ常駐なし

発見日 2013年12月13日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-javascript

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
text/javascript

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
application/x-javascript
CLSID = "{25336920-03F9-11cf-8FD0-00AA00686F13}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
MIME\Database\Content Type\
text/javascript
CLSID = "{25336920-03F9-11cf-8FD0-00AA00686F13}"

作成活動

マルウェアは、以下のファイルを作成します。

%Windows%\Tasks\v9c1f.job

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}s.pw/568/654.html
http://{BLOCKED}s.pw/852/861.html
http://{BLOCKED}udytfert.biz/983/528.html
http://{BLOCKED}truasf.biz/284/310.html
http://{BLOCKED}s.pw/521/287.html
http://{BLOCKED}s.pw/431/225.html
http://{BLOCKED}udytfert.biz/287/848.html
http://{BLOCKED}truasf.biz/753/743.html
http://{BLOCKED}s.pw/182/131.html
http://{BLOCKED}s.pw/80/666.html
http://{BLOCKED}udytfert.biz/296/48.html
http://{BLOCKED}truasf.biz/141/822.html
http://{BLOCKED}s.pw/405/257.html
http://{BLOCKED}s.pw/447/978.html
http://{BLOCKED}udytfert.biz/708/452.html
http://{BLOCKED}truasf.biz/772/785.html
http://{BLOCKED}s.pw/621/965.html
http://{BLOCKED}s.pw/434/596.html
http://{BLOCKED}udytfert.biz/569/977.html
http://{BLOCKED}truasf.biz/669/410.html
http://{BLOCKED}s.pw/36/533.html
http://{BLOCKED}s.pw/705/923.html
http://{BLOCKED}udytfert.biz/105/856.html
http://{BLOCKED}truasf.biz/755/865.html
http://{BLOCKED}s.pw/558/390.html
http://{BLOCKED}s.pw/435/768.html
http://{BLOCKED}udytfert.biz/194/935.html
http://{BLOCKED}truasf.biz/621/952.html
http://{BLOCKED}s.pw/53/591.html
http://{BLOCKED}s.pw/776/105.html
http://{BLOCKED}udytfert.biz/159/423.html
http://{BLOCKED}truasf.biz/149/310.html
http://{BLOCKED}s.pw/596/557.html
http://{BLOCKED}s.pw/956/388.html
http://{BLOCKED}udytfert.biz/589/919.html
http://{BLOCKED}truasf.biz/12/461.html
http://{BLOCKED}s.pw/154/365.html
http://{BLOCKED}s.pw/322/744.html
http://{BLOCKED}udytfert.biz/399/440.html
http://{BLOCKED}truasf.biz/717/900.html
http://{BLOCKED}s.pw/893/149.html
http://{BLOCKED}s.pw/247/317.html
http://{BLOCKED}udytfert.biz/147/551.html
http://{BLOCKED}truasf.biz/758/797.html
http://{BLOCKED}s.pw/957/188.html
http://{BLOCKED}s.pw/971/111.html
http://{BLOCKED}udytfert.biz/371/518.html
http://{BLOCKED}truasf.biz/394/888.html
http://{BLOCKED}s.pw/429/190.html
http://{BLOCKED}s.pw/868/695.html
http://{BLOCKED}udytfert.biz/941/324.html
http://{BLOCKED}truasf.biz/226/918.html
http://{BLOCKED}s.pw/165/41.html
http://{BLOCKED}s.pw/938/305.html
http://{BLOCKED}udytfert.biz/124/848.html
http://{BLOCKED}truasf.biz/159/175.html
http://{BLOCKED}s.pw/627/354.html
http://{BLOCKED}s.pw/180/511.html
http://{BLOCKED}udytfert.biz/516/778.html
http://{BLOCKED}truasf.biz/641/53.html
http://{BLOCKED}s.pw/829/800.html
http://{BLOCKED}s.pw/593/204.html
http://{BLOCKED}udytfert.biz/609/674.html
http://{BLOCKED}truasf.biz/587/630.html
http://{BLOCKED}s.pw/760/920.html
http://{BLOCKED}s.pw/816/690.html
http://{BLOCKED}udytfert.biz/217/446.html
http://{BLOCKED}truasf.biz/340/414.html
http://{BLOCKED}s.pw/205/647.html
http://{BLOCKED}s.pw/785/941.html
http://{BLOCKED}udytfert.biz/317/8.html
http://{BLOCKED}truasf.biz/488/194.html
http://{BLOCKED}s.pw/974/244.html
http://{BLOCKED}s.pw/633/38.html
http://{BLOCKED}udytfert.biz/820/406.html
http://{BLOCKED}truasf.biz/478/983.html
http://{BLOCKED}s.pw/925/315.html
http://{BLOCKED}s.pw/474/385.html
http://{BLOCKED}udytfert.biz/296/809.html
http://{BLOCKED}truasf.biz/695/129.html
http://{BLOCKED}s.pw/150/707.html
http://{BLOCKED}s.pw/185/648.html
http://{BLOCKED}udytfert.biz/631/455.html
http://{BLOCKED}truasf.biz/509/916.html
http://{BLOCKED}s.pw/952/105.html
http://{BLOCKED}s.pw/295/317.html
http://{BLOCKED}udytfert.biz/20/297.html
http://{BLOCKED}truasf.biz/466/567.html
http://{BLOCKED}s.pw/232/426.html
http://{BLOCKED}s.pw/512/915.html
http://{BLOCKED}udytfert.biz/275/517.html
http://{BLOCKED}truasf.biz/364/563.html
http://{BLOCKED}s.pw/814/222.html
http://{BLOCKED}s.pw/646/446.html
http://{BLOCKED}udytfert.biz/17/292.html
http://{BLOCKED}truasf.biz/40/848.html
http://{BLOCKED}s.pw/862/39.html
http://{BLOCKED}s.pw/167/790.html
http://{BLOCKED}udytfert.biz/633/733.html
http://{BLOCKED}truasf.biz/236/105.html
http://{BLOCKED}s.pw/864/398.html
http://{BLOCKED}s.pw/867/353.html
http://{BLOCKED}udytfert.biz/432/305.html
http://{BLOCKED}truasf.biz/739/611.html

このウイルス情報は、自動解析システムにより作成されました。

対応方法

対応検索エンジン: 9.300

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MIME\Database\Content Type
- application/x-javascript

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MIME\Database\Content Type
- text/javascript

手順 3

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MIME\Database\Content Type\application/x-javascript
- CLSID = "{25336920-03F9-11cf-8FD0-00AA00686F13}"

In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MIME\Database\Content Type\text/javascript
- CLSID = "{25336920-03F9-11cf-8FD0-00AA00686F13}"

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Windows%\Tasks\v9c1f.job

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_NECONYD.AQ」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください