TROJ_ZLOB.FNA

2012年10月8日

解析者: Kathleen Notario

プラットフォーム:

Windows 2000, XP, Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

詳細

ファイルサイズ不定

タイプ EXE

メモリ常駐はい

発見日 2010年8月16日

ペイロードファイルの作成

インストール

マルウェアは、以下のフォルダを追加します。

%Start Menu%\¼«EUµÇEO
%Program Files%\¼«EUµÇEO

(註： %Start Menu%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu "、Windows 2000、XP、Server 2003の場合、"C:\Windows\Start Menu" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu " です。. %Program Files%は、標準設定では "C:\Program Files" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\.knl

HKEY_CLASSES_ROOT\.qa

HKEY_CLASSES_ROOT\.rrls

HKEY_CLASSES_ROOT\qafile

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\PropertySystem\
PropertyHandlers\.rrls

HKEY_CLASSES_ROOT\ATLDownLoadProgressBar.DownLoadProgressBar

HKEY_CLASSES_ROOT\ATLDownLoadProgressBar.DownLoadProgressBar.1

HKEY_CLASSES_ROOT\Downloader.DLoader

HKEY_CLASSES_ROOT\Downloader.DLoader.1

HKEY_CLASSES_ROOT\KOOPLAYER.CCTVPlayerCtrl.1

HKEY_CLASSES_ROOT\SOPOCX.SopCoreCtrl.1

HKEY_CLASSES_ROOT\ULIVECTRL.ULiveCtrlCtrl.1

HKEY_CLASSES_ROOT\UPLAYER.UPlayerCtrl.1

HKEY_CLASSES_ROOT\CLSID\{070CA17A-4BD2-4612-83B4-32B1B9159B48}

HKEY_CLASSES_ROOT\CLSID\{38943A5A-33BB-4D28-909A-BF52B994D26A}

HKEY_CLASSES_ROOT\CLSID\{78ABDC59-D8E7-44D3-9A76-9A0918C52B4A}

HKEY_CLASSES_ROOT\CLSID\{8E2D6F68-E69E-426E-8F5E-A14D7BF3C3CD}

HKEY_CLASSES_ROOT\CLSID\{8FEFF364-6A5F-4966-A917-A3AC28411659}

HKEY_CLASSES_ROOT\CLSID\{945E37E3-156F-4757-AA1F-CBA338DDFBE9}

HKEY_CLASSES_ROOT\CLSID\{AC414988-E5BB-4C2C-873B-EA53D2F3D23A}

HKEY_CLASSES_ROOT\CLSID\{C728DAB8-FDF5-4CD7-89DD-879D25794C77}

HKEY_CLASSES_ROOT\CLSID\{EAB7A1CC-C77B-45E5-9AC2-AD037D047BCC}

HKEY_CLASSES_ROOT\Interface\{042C7AAC-BD4A-4450-AA0C-AAC3A30CA19E}

HKEY_CLASSES_ROOT\Interface\{3D593BD9-ADCB-4E50-B1D3-9B8B413148FF}

HKEY_CLASSES_ROOT\Interface\{6B1C04D4-FE66-4828-92E0-EEBCC8959BF3}

HKEY_CLASSES_ROOT\Interface\{770B88B4-DCD8-4857-8E82-62C650F58545}

HKEY_CLASSES_ROOT\Interface\{7AA7A8C8-6BA1-4F68-BB44-CA01D82830FB}

HKEY_CLASSES_ROOT\Interface\{80F1D1E4-9D20-4501-B0F1-196A6B302060}

HKEY_CLASSES_ROOT\Interface\{BE61BB61-0E51-4080-8B6D-8F1FE00ABE38}

HKEY_CLASSES_ROOT\Interface\{C55E048A-B88B-4B9E-974F-0777AAAB4C48}

HKEY_CLASSES_ROOT\Interface\{E9536BC6-75F4-4CC7-A0AC-56A366BB9D12}

HKEY_CLASSES_ROOT\Interface\{EC161D49-0007-47E2-8741-2C0BB6CF3893}

HKEY_CLASSES_ROOT\Interface\{EC28B75D-96D9-4C94-AF51-097924C54C99}

HKEY_CLASSES_ROOT\TypeLib\{0179B775-DF94-4BF5-8EF6-63BE876D1845}

HKEY_CLASSES_ROOT\TypeLib\{18F64ED3-F6C9-456D-B642-7B5D7142781E}

HKEY_CLASSES_ROOT\TypeLib\{754EFA30-C752-4F45-8890-6250A53FD512}

HKEY_CLASSES_ROOT\TypeLib\{7B0F8D4E-2C8D-4F2A-805B-0E35BF90B713}

HKEY_CLASSES_ROOT\TypeLib\{8A6847C0-D132-4FDC-A667-7751C0075A0E}

HKEY_CLASSES_ROOT\TypeLib\{8DB3A21B-4F5A-4D45-AE1A-0F03E72A6E8F}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
jisutv.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
¼«ËÙµçÊÓ

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoInternetIcon = 1

作成活動

マルウェアは、以下のファイルを作成します。

%Program Files%\NetMeeting\360se.knl
%Program Files%\NetMeeting\tao.ico
%Desktop%\ÔÚÏßµçÓ°µçÊÓ.lnk

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。)

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

It searches for *.lnk files and replaces them with {filename}.qa

対応方法

対応検索エンジン: 8.900

VSAPI パターンファイル: 7.388.10

VSAPI パターンリリース日: 2010年8月16日

VSAPI パターンリリース日: 8/16/2010 12:00:00 AM

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CLASSES_ROOT
- .knl
In HKEY_CLASSES_ROOT
- .qa
In HKEY_CLASSES_ROOT
- .rrls
In HKEY_CLASSES_ROOT
- qafile
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\PropertySystem\PropertyHandlers
- .rrls
In HKEY_CLASSES_ROOT
- ATLDownLoadProgressBar.DownLoadProgressBar
In HKEY_CLASSES_ROOT
- ATLDownLoadProgressBar.DownLoadProgressBar.1
In HKEY_CLASSES_ROOT
- Downloader.DLoader
In HKEY_CLASSES_ROOT
- Downloader.DLoader.1
In HKEY_CLASSES_ROOT
- KOOPLAYER.CCTVPlayerCtrl.1
In HKEY_CLASSES_ROOT
- SOPOCX.SopCoreCtrl.1
In HKEY_CLASSES_ROOT
- ULIVECTRL.ULiveCtrlCtrl.1
In HKEY_CLASSES_ROOT
- UPLAYER.UPlayerCtrl.1
In HKEY_CLASSES_ROOT\CLSID
- {070CA17A-4BD2-4612-83B4-32B1B9159B48}
In HKEY_CLASSES_ROOT\CLSID
- {38943A5A-33BB-4D28-909A-BF52B994D26A}
In HKEY_CLASSES_ROOT\CLSID
- {78ABDC59-D8E7-44D3-9A76-9A0918C52B4A}
In HKEY_CLASSES_ROOT\CLSID
- {8E2D6F68-E69E-426E-8F5E-A14D7BF3C3CD}
In HKEY_CLASSES_ROOT\CLSID
- {8FEFF364-6A5F-4966-A917-A3AC28411659}
In HKEY_CLASSES_ROOT\CLSID
- {945E37E3-156F-4757-AA1F-CBA338DDFBE9}
In HKEY_CLASSES_ROOT\CLSID
- {AC414988-E5BB-4C2C-873B-EA53D2F3D23A}
In HKEY_CLASSES_ROOT\CLSID
- {C728DAB8-FDF5-4CD7-89DD-879D25794C77}
In HKEY_CLASSES_ROOT\CLSID
- {EAB7A1CC-C77B-45E5-9AC2-AD037D047BCC}
In HKEY_CLASSES_ROOT\Interface
- {042C7AAC-BD4A-4450-AA0C-AAC3A30CA19E}
In HKEY_CLASSES_ROOT\Interface
- {3D593BD9-ADCB-4E50-B1D3-9B8B413148FF}
In HKEY_CLASSES_ROOT\Interface
- {6B1C04D4-FE66-4828-92E0-EEBCC8959BF3}
In HKEY_CLASSES_ROOT\Interface
- {770B88B4-DCD8-4857-8E82-62C650F58545}
In HKEY_CLASSES_ROOT\Interface
- {7AA7A8C8-6BA1-4F68-BB44-CA01D82830FB}
In HKEY_CLASSES_ROOT\Interface
- {80F1D1E4-9D20-4501-B0F1-196A6B302060}
In HKEY_CLASSES_ROOT\Interface
- {BE61BB61-0E51-4080-8B6D-8F1FE00ABE38}
In HKEY_CLASSES_ROOT\Interface
- {C55E048A-B88B-4B9E-974F-0777AAAB4C48}
In HKEY_CLASSES_ROOT\Interface
- {E9536BC6-75F4-4CC7-A0AC-56A366BB9D12}
In HKEY_CLASSES_ROOT\Interface
- {EC161D49-0007-47E2-8741-2C0BB6CF3893}
In HKEY_CLASSES_ROOT\Interface
- {EC28B75D-96D9-4C94-AF51-097924C54C99}
In HKEY_CLASSES_ROOT\TypeLib
- {0179B775-DF94-4BF5-8EF6-63BE876D1845}
In HKEY_CLASSES_ROOT\TypeLib
- {18F64ED3-F6C9-456D-B642-7B5D7142781E}
In HKEY_CLASSES_ROOT\TypeLib
- {754EFA30-C752-4F45-8890-6250A53FD512}
In HKEY_CLASSES_ROOT\TypeLib
- {7B0F8D4E-2C8D-4F2A-805B-0E35BF90B713}
In HKEY_CLASSES_ROOT\TypeLib
- {8A6847C0-D132-4FDC-A667-7751C0075A0E}
In HKEY_CLASSES_ROOT\TypeLib
- {8DB3A21B-4F5A-4D45-AE1A-0F03E72A6E8F}
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths
- jisutv.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- ¼«ËÙµçÊÓ

このマルウェアが追加したレジストリキーの削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
.knl
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
.qa
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
.rrls
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
qafile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>PropertySystem>PropertyHandlers
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
.rrls
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ATLDownLoadProgressBar.DownLoadProgressBar
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ATLDownLoadProgressBar.DownLoadProgressBar.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Downloader.DLoader
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Downloader.DLoader.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
KOOPLAYER.CCTVPlayerCtrl.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
SOPOCX.SopCoreCtrl.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
ULIVECTRL.ULiveCtrlCtrl.1
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
UPLAYER.UPlayerCtrl.1
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>CLSID
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{070CA17A-4BD2-4612-83B4-32B1B9159B48}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{38943A5A-33BB-4D28-909A-BF52B994D26A}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{78ABDC59-D8E7-44D3-9A76-9A0918C52B4A}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{8E2D6F68-E69E-426E-8F5E-A14D7BF3C3CD}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{8FEFF364-6A5F-4966-A917-A3AC28411659}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{945E37E3-156F-4757-AA1F-CBA338DDFBE9}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{AC414988-E5BB-4C2C-873B-EA53D2F3D23A}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{C728DAB8-FDF5-4CD7-89DD-879D25794C77}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{EAB7A1CC-C77B-45E5-9AC2-AD037D047BCC}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>Interface
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{042C7AAC-BD4A-4450-AA0C-AAC3A30CA19E}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{3D593BD9-ADCB-4E50-B1D3-9B8B413148FF}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{6B1C04D4-FE66-4828-92E0-EEBCC8959BF3}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{770B88B4-DCD8-4857-8E82-62C650F58545}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{7AA7A8C8-6BA1-4F68-BB44-CA01D82830FB}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{80F1D1E4-9D20-4501-B0F1-196A6B302060}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{BE61BB61-0E51-4080-8B6D-8F1FE00ABE38}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{C55E048A-B88B-4B9E-974F-0777AAAB4C48}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{E9536BC6-75F4-4CC7-A0AC-56A366BB9D12}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{EC161D49-0007-47E2-8741-2C0BB6CF3893}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{EC28B75D-96D9-4C94-AF51-097924C54C99}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>TypeLib
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{0179B775-DF94-4BF5-8EF6-63BE876D1845}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{18F64ED3-F6C9-456D-B642-7B5D7142781E}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{754EFA30-C752-4F45-8890-6250A53FD512}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{7B0F8D4E-2C8D-4F2A-805B-0E35BF90B713}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{8A6847C0-D132-4FDC-A667-7751C0075A0E}
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{8DB3A21B-4F5A-4D45-AE1A-0F03E72A6E8F}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>App Paths
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
jisutv.exe
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Uninstall
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
¼«ËÙµçÊÓ
「レジストリエディタ」を閉じます。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- NoInternetIcon=1

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 DATA_GENERIC

[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。

検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。

残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Start Menu%\¼«EUµÇEO
%Program Files%\¼«EUµÇEO

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_ZLOB.FNA」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください