![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
TROJ_UPATRE.YYKX
TrojanDownloader:Win32/Lerspeng.A (Microsoft); RDN/q7x-pws.s_348991!a (McAfee); Trojan.Fakeavlock (Symantec); Trojan.Win32.Badur.hoij (Kaspersky); Troj/Zbot-ICX (Sophos); Trojan.Win32.Generic!BT (Sunbelt); Trojan horse Zbot.HSL (AVG)
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のフォルダを作成します。
- %User Profile%\Microsoft\Address Book
- %User Temp%\Qivih
(註:%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Wuuhp = "%User Temp%\Qivih\wuuhp.exe "
他のシステム変更
マルウェアは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server ID = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server ID = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server ID = "2"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server ID = "3"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = "4"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVer = "4"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVerNTDS = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
Account Name = "Active Directory"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server = "NULL"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Return = "64"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Timeout = "3c"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Authentication = "2"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Simple Search = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Bind DN = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Port = "cc4"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Resolve Flag = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Secure Connection = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP User Name = "NULL"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Base = "NULL"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
Account Name = "Bigfoot Internet Directory Service"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server = "ldap.bigfoot.com"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP URL = "http://www.{BLOCKED}t.com"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Search Return = "64"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Timeout = "3c"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Authentication = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Simple Search = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Logo = "%ProgramFiles%\Common Files\Services\bigfoot.bmp"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
Account Name = "VeriSign Internet Directory Service"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server = "directory.verisign.com"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP URL = "http://www.{BLOCKED}gn.com"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Return = "64"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Timeout = "3c"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Authentication = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Base = "NULL"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Simple Search = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Logo = "%ProgramFiles%\Common Files\Services\verisign.bmp"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
Account Name = "WhoWhere Internet Directory Service"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server = "ldap.whowhere.com"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP URL = "http://www.{BLOCKED}re.com"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Search Return = "64"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Timeout = "3c"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Authentication = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Simple Search = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Logo = "%ProgramFiles%\Common Files\Services\whowhere.bmp"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Default LDAP Account = "Active Directory GC"
HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"
HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"
HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
Identity Ordinal = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
36fde6hj = "9f8c67a5"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
31jejh49 = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
36fde6hj = "{random values}"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
8627:UDP = "8627:UDP:*:Enabled:UDP 8627"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "0"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
1213:TCP = "1213:TCP:*:Enabled:TCP 1213"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
jaeiac3 = "R0aMn9hq2Jwsc0aN_CHAR(0x05)_re?U?Ued."
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
2i5d2afe = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
1iic70ea = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
1iic70ea = "{random characters}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
2i5d2afe = "{random characters}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
3475577f = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
15103ja8 = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
30c302d1 = "7UfWzA==_CHAR(0x16)__CHAR(0x03)_U_CHAR(0x08)_?U???????????????"
HKEY_CURRENT_USER\Software\Microsoft\
Acmamihecyy
36fde6hj = "5WeMnw==Ù_CHAR(0x03)_"
マルウェアは、以下のレジストリ値を変更します。
HKEY_CURRENT_USER\Identities
Identity Ordinal = "2"
(註:変更前の上記レジストリ値は、「1」となります。)
作成活動
マルウェアは、以下のファイルを作成します。
- %User Temp%\mss4.exe
- %User Temp%\mss14.exe
- %User Temp%\mss1A.exe
- %User Temp%\mss25.exe
- %User Temp%\mss2A.exe
- %User Temp%\mss3C.exe
- %User Temp%\mss42.exe
- %User Temp%\mss4A.exe
- %User Temp%\mss55.exe
- %User Profile%\Address Book\Wilbert.wab
- %User Temp%\mss71.exe
- %User Temp%\mss75.exe
- %User Temp%\mss7C.exe
- %User Temp%\mss83.exe
- %User Temp%\Qivih\wuuhp.exe
- %User Profile%\Application Data\vyoc.uka
- %System%\drivers\13d13.sys
(註:%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}dialinkonline.com/11
- http://{BLOCKED}rez.com/11
- http://{BLOCKED}kapla.com/11
- http://{BLOCKED}et.eu/11
- http://{BLOCKED}o.com/11
- http://{BLOCKED}alba.com/11
- http://{BLOCKED}n.rs/11
- http://exorcist.{BLOCKED}o.ro/11
- http://{BLOCKED}careercoaching.nl/11
- http://sic-choppers.{BLOCKED}r.de/11
- http://{BLOCKED}olf.be/11
- http://{BLOCKED}opysite.com/11
- http://{BLOCKED}dsir.com/11
- http://{BLOCKED}atrick.com/11
- http://www.{BLOCKED}s-decoration.nl/11
- http://{BLOCKED}tpro.com/11
- http://{BLOCKED}resas.com/11
- http://{BLOCKED}eklam.net/11
- http://acenber.{BLOCKED}l.k12.tr/11
- http://{BLOCKED}yonwye.com/11
- http://{BLOCKED}rvices.biz/11
- http://idede.{BLOCKED}l.k12.tr/11
- http://www.{BLOCKED}ren.homepage.t-online.de/11
- http://ec2-107-20-241-193.{BLOCKED}e-1.amazonaws.com/11
- http://www.{BLOCKED}q.com.mx/11
- http://{BLOCKED}ch.com/11
- http://{BLOCKED}nter.com/11
- http://{BLOCKED}stadler.org/11
- http://www.{BLOCKED}tzakos.com/11
- http://files.{BLOCKED}llasa.gr/11
- http://{BLOCKED}102.154/11
- http://krptb.{BLOCKED}g.tr/11
- http://legraff.{BLOCKED}m.tr/11
- http://jieyi.{BLOCKED}m.ar/11
- http://m.{BLOCKED}d.info/11
- http://{BLOCKED}oevent.com/11
- http://www2.{BLOCKED}r.co.jp/11
- http://marcin_dybek.{BLOCKED}m.interia.pl/11
- http://marzenamaks.{BLOCKED}u.interia.pl/11
- http://mehmetunal.{BLOCKED}l.k12.tr/11
- http://job.{BLOCKED}o.com/11
- {BLOCKED}0.1
- {BLOCKED}.215.205
- {BLOCKED}241.163
- {BLOCKED}176.107
- {BLOCKED}.145.130
- {BLOCKED}1.162.137
- {BLOCKED}157.20
- {BLOCKED}.36.11
- {BLOCKED}.20.134
- {BLOCKED}.22.29
- {BLOCKED}193.147
- {BLOCKED}48.28
- {BLOCKED}3.228.41
- {BLOCKED}.118.219
- {BLOCKED}85.16
- {BLOCKED}208.156
- {BLOCKED}.187.102
- {BLOCKED}155.190
- {BLOCKED}5.86.25
- {BLOCKED}178.31
- {BLOCKED}8.94.138
- {BLOCKED}.6.138
- {BLOCKED}.241.193
- {BLOCKED}187.210
- {BLOCKED}19.52
- {BLOCKED}1.136.76
- {BLOCKED}5.78.65
- {BLOCKED}.41.129
- {BLOCKED}.104.182
- {BLOCKED}2.135.180
- {BLOCKED}.132.51
- {BLOCKED}.56.67
- {BLOCKED}2.58.115
- {BLOCKED}5.144.245
- {BLOCKED}2.169.79
- {BLOCKED}.65.161
- {BLOCKED}.65.163
- {BLOCKED}246.178
- {BLOCKED}4.91.70
- {BLOCKED}6.171.110
- {BLOCKED}0.232.212
このウイルス情報は、自動解析システムにより作成されました。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Windowsをセーフモードで再起動します。
手順 3
不明なレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft
- Internet Account Manager
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager
- Accounts
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
- Active Directory GC
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
- Bigfoot
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
- VeriSign
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
- WhoWhere
- In HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4
- Wab File Name
- In HKEY_CURRENT_USER\Software\Microsoft
- Acmamihecyy
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Wuuhp = "%User Temp%\Qivih\wuuhp.exe "
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Server ID = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Server ID = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Server ID = "2"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Server ID = "3"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager
- Server ID = "4"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
- PreConfigVer = "4"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts
- PreConfigVerNTDS = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- Account Name = "Active Directory"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Server = "NULL"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Search Return = "64"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Timeout = "3c"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Authentication = "2"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Simple Search = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Bind DN = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Port = "cc4"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Resolve Flag = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Secure Connection = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP User Name = "NULL"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Active Directory GC
- LDAP Search Base = "NULL"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- Account Name = "Bigfoot Internet Directory Service"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Server = "ldap.bigfoot.com"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP URL = "http://www.{BLOCKED}t.com"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Search Return = "64"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Timeout = "3c"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Authentication = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Simple Search = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\Bigfoot
- LDAP Logo = "%ProgramFiles%\Common Files\Services\bigfoot.bmp"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- Account Name = "VeriSign Internet Directory Service"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Server = "directory.verisign.com"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP URL = "http://www.{BLOCKED}gn.com"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Search Return = "64"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Timeout = "3c"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Authentication = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Search Base = "NULL"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Simple Search = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\VeriSign
- LDAP Logo = "%ProgramFiles%\Common Files\Services\verisign.bmp"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- Account Name = "WhoWhere Internet Directory Service"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Server = "ldap.whowhere.com"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP URL = "http://www.{BLOCKED}re.com"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Search Return = "64"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Timeout = "3c"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Authentication = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Simple Search = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\WhoWhere
- LDAP Logo = "%ProgramFiles%\Common Files\Services\whowhere.bmp"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager
- Default LDAP Account = "Active Directory GC"
- In HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4
- OlkContactRefresh = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\WAB\WAB4
- OlkFolderRefresh = "0"
- In HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
- Identity Ordinal = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 36fde6hj = "9f8c67a5"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 31jejh49 = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 36fde6hj = "{random values}"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- DisableNotifications = "1"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 8627:UDP = "8627:UDP:*:Enabled:UDP 8627"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- DisableNotifications = "0"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
- 1213:TCP = "1213:TCP:*:Enabled:TCP 1213"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- jaeiac3 = "R0aMn9hq2Jwsc0aN_CHAR(0x05)_re?U?Ued."
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 2i5d2afe = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 1iic70ea = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 1iic70ea = "{random characters}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 2i5d2afe = "{random characters}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 3475577f = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 15103ja8 = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 30c302d1 = "7UfWzA==_CHAR(0x16)__CHAR(0x03)_U_CHAR(0x08)_?U???????????????"
- In HKEY_CURRENT_USER\Software\Microsoft\Acmamihecyy
- 36fde6hj = "5WeMnw==Ù_CHAR(0x03)_"
手順 5
変更されたレジストリ値を修正します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Identities
- From: Identity Ordinal = "2"
To: Identity Ordinal = ""1""
- From: Identity Ordinal = "2"
手順 6
以下のファイルを検索し削除します。
- %User Temp%\mss4.exe
- %User Temp%\mss14.exe
- %User Temp%\mss1A.exe
- %User Temp%\mss25.exe
- %User Temp%\mss2A.exe
- %User Temp%\mss3C.exe
- %User Temp%\mss42.exe
- %User Temp%\mss4A.exe
- %User Temp%\mss55.exe
- %User Profile%\Address Book\Wilbert.wab
- %User Temp%\mss71.exe
- %User Temp%\mss75.exe
- %User Temp%\mss7C.exe
- %User Temp%\mss83.exe
- %User Temp%\Qivih\wuuhp.exe
- %User Profile%\Application Data\vyoc.uka
- %System%\drivers\13d13.sys
手順 7
以下のフォルダを検索し削除します。
- %User Profile%\Microsoft\Address Book
- %User Temp%\Qivih
手順 8
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「TROJ_UPATRE.YYKX」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください