Trend Micro Security

TrojanSpy.Win32.EMOTET.TIABOFEF

2019年12月6日
 更新者 : Arvin Roi Macaraeg
 別名:

Trojan:Win32/Emotet.PH!MTB(MICROSOFT); Trojan.Win32.Yakes.zihs(KASPERSKY)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: スパイウェア/情報窃取型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 137,728 bytes
タイプ EXE
メモリ常駐 はい
発見日 2019年10月30日
ペイロード URLまたはIPアドレスに接続, ファイルの作成

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

  • %AppDataLocal%\{string1}{string2} → if run without admin privileges

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System%\{string1}{string2}.exe → if run with admin privileges
  • %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
    where {string1} and {string2} can be any of the following strings:
    • term
    • with
    • poller
    • indiana
    • shader
    • sti
    • dlgs
    • metered
    • asptlb
    • conman
    • plain
    • while
    • cpl
    • crash
    • teapot
    • device
    • adam
    • battery
    • trouble
    • caching
    • hand
    • hlf
    • hero
    • smc
    • readand
    • cpls
    • network
    • engn
    • mmc
    • lcl
    • pdh
    • clw
    • vista
    • client
    • pairs
    • fsi
    • medium
    • pdeft
    • known
    • reach
    • vert
    • boost
    • snd
    • fwk
    • builder
    • iab
    • mscms
    • ssp
    • cable
    • etw
    • angle
    • ordered
    • scalar
    • songs
    • ctnt
    • server
    • chinese
    • media
    • endif
    • supp
    • setthe
    • misc
    • diagram
    • urd

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

  • {Malware File Path}\{Malware File Name}.exe --{8 Random Characters}
  • %System%\{string1}{string2}.exe → if run with admin privileges
  • %System%\{string1}{string2}.exe --{8 Random Characters} → if run with admin privileges
  • %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
  • %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe --{8 Random Characters} → if run without admin privileges

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\I{Volume Serial Number}
  • Global\M{Volume Serial Number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{string1}{string2}
ImagePath = %System%\{string1}{string2}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\{string1}{string2}\{string1}{string2}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
DisplayName = {string1}{string2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ObjectName = {string1}{string2}

情報漏えい

スパイウェアは、以下の情報を収集します。

  • Computer Name
  • Process SessionId
  • OS Version
  • Running Processes
  • File CRC
  • Processor Architecture

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

    • {BLOCKED}.{BLOCKED}.71.206:7080/{string}
    • {BLOCKED}.{BLOCKED}.183.28:8080/{string}
    • {BLOCKED}.{BLOCKED}.93.124:7080/{string}
    • {BLOCKED}.{BLOCKED}.215.57:7080/{string}
    • {BLOCKED}.{BLOCKED}.163.19:8090/{string}
    • {BLOCKED}.{BLOCKED}.124.145:443/{string}
    • {BLOCKED}.{BLOCKED}.77.40:7080/{string}
    • {BLOCKED}.{BLOCKED}.{BLOCKED}.121:80/{string}
    • {BLOCKED}.{BLOCKED}.166.147:80/{string}
    • {BLOCKED}.{BLOCKED}.15.205:8080/{string}
    • {BLOCKED}.{BLOCKED}.140.14:443/{string}
    • {BLOCKED}.{BLOCKED}.87.122:8080/{string}
    • {BLOCKED}.{BLOCKED}.182.254:8080/{string}
    • {BLOCKED}.{BLOCKED}.57.43:80/{string}
    • {BLOCKED}.{BLOCKED}.211.77:8080/{string}
    • {BLOCKED}.{BLOCKED}.101.134:8080/{string}
    • {BLOCKED}.{BLOCKED}.33.84:8080/{string}
    • {BLOCKED}.{BLOCKED}.190.199:8080/{string}
    • {BLOCKED}.{BLOCKED}.170.114:8080/{string}
    • {BLOCKED}.{BLOCKED}.160.178:8080/{string}
    • {BLOCKED}.{BLOCKED}.143.100:7080/{string}
    • {BLOCKED}.{BLOCKED}.8.192:8080/{string}
    • {BLOCKED}.{BLOCKED}.51.143:8080/{string}
    • {BLOCKED}.{BLOCKED}.35.138:7080/{string}
    • {BLOCKED}.{BLOCKED}.151.103:8080/{string}
    • {BLOCKED}.{BLOCKED}.183.211:8080/{string}
    • {BLOCKED}.{BLOCKED}.111.142:7080/{string}
    • {BLOCKED}.{BLOCKED}.144.228:80/{string}
    • {BLOCKED}.{BLOCKED}.212.195:8080/{string}
    • {BLOCKED}.{BLOCKED}.95.107:443/{string}
    • {BLOCKED}.{BLOCKED}.115.217:8080/{string}
    • {BLOCKED}.{BLOCKED}.38.226:50000/{string}
    • {BLOCKED}.{BLOCKED}.160.224:8080/{string}
    • {BLOCKED}.{BLOCKED}.237.140:8080/{string}
    • {BLOCKED}.{BLOCKED}.159.3:8080/{string}
    • {BLOCKED}.{BLOCKED}.32.59:80/{string}
    • {BLOCKED}.{BLOCKED}.41.228:990/{string}
    • {BLOCKED}.{BLOCKED}.74.202:443/{string}
    • {BLOCKED}.{BLOCKED}.32.171:80/{string}
    • {BLOCKED}.{BLOCKED}.83.179:80/{string}
    • {BLOCKED}.{BLOCKED}.171.51:80/{string}
    • {BLOCKED}.{BLOCKED}.102.71:8443/{string}
    • {BLOCKED}.{BLOCKED}.227.135:80/{string}
    • {BLOCKED}.{BLOCKED}.106.18:80/{string}
    • {BLOCKED}.{BLOCKED}.106.18:80/{string}
    • {BLOCKED}.{BLOCKED}.30.167:990/{string}
    • {BLOCKED}.{BLOCKED}.152.186:8080/{string}
    • {BLOCKED}.{BLOCKED}.14.52:80/{string}
    • {BLOCKED}.{BLOCKED}.60.129:8080/{string}
    • {BLOCKED}.{BLOCKED}.60.129:80/{string}
    • {BLOCKED}.{BLOCKED}.60.129:80/{string}
    • {BLOCKED}.{BLOCKED}.131.105:8080/{string}
    • {BLOCKED}.{BLOCKED}.104.21:443/{string}
    • {BLOCKED}.{BLOCKED}.253.234:990/{string}
    • {BLOCKED}.{BLOCKED}.194.42:8080/{string}
    • {BLOCKED}.{BLOCKED}.21.214:443/{string}
    • {BLOCKED}.{BLOCKED}.89.61:50000/{string}
    • {BLOCKED}.{BLOCKED}.11.143:8080/{string}
    • {BLOCKED}.{BLOCKED}.141.218:80/{string}
    • {BLOCKED}.{BLOCKED}.132.93:990/{string}
    • {BLOCKED}.{BLOCKED}.41.111:443/{string}
    • {BLOCKED}.{BLOCKED}.95.172:80/{string}
    • {BLOCKED}.{BLOCKED}.148.222:8080/{string}
    • {BLOCKED}.{BLOCKED}.198.10:8080/{string}
    • {BLOCKED}.{BLOCKED}.97.25:80/{string}
    • {BLOCKED}.{BLOCKED}.253.20:21/{string}
    • {BLOCKED}.{BLOCKED}.166.242:80/{string}
    • {BLOCKED}.{BLOCKED}.122.122:8080/{string}
    • {BLOCKED}.{BLOCKED}.42.205:443/{string}
    • {BLOCKED}.{BLOCKED}.164.248:80/{string}
    • {BLOCKED}.{BLOCKED}.17.210:443/{string}
    • {BLOCKED}.{BLOCKED}.153.203:443/{string}
    • {BLOCKED}.{BLOCKED}.163.131:8080/{string}
    • {BLOCKED}.{BLOCKED}.187.151:8080/{string}
    • {BLOCKED}.{BLOCKED}.204.126:8080/{string}
    • {BLOCKED}.{BLOCKED}.173.247:8080/{string}
    • {BLOCKED}.{BLOCKED}.158.155:80/{string}
    • {BLOCKED}.{BLOCKED}.93.230:80/{string}
    • {BLOCKED}.{BLOCKED}.237.27:443/{string}
    • {BLOCKED}.{BLOCKED}.106.4:7080/{string}
    • {BLOCKED}.{BLOCKED}.124.163:8080/{string}
    • {BLOCKED}.{BLOCKED}.150.176:443/{string}
    • {BLOCKED}.{BLOCKED}.86.13:8080/{string}
    • {BLOCKED}.{BLOCKED}.58.132:8080/{string}
  • where {string} can be one or a combination of any of the following strings, separated by "/":
    • teapot
    • pnp
    • tpt
    • splash
    • site
    • codec
    • health
    • balloon
    • cab
    • odbc
    • badge
    • dma
    • psec
    • cookies
    • iplk
    • devices
    • enable
    • mult
    • prov
    • vermont
    • attrib
    • schema
    • iab
    • chunk
    • publish
    • prep
    • srvc
    • sess
    • ringin
    • nsip
    • stubs
    • img
    • add
    • xian
    • jit
    • free
    • pdf
    • loadan
    • arizona
    • tlb
    • forced
    • results
    • symbols
    • report
    • guids
    • taskbar
    • child
    • cone
    • glitch
    • entries
    • between
    • bml
    • usbccid
    • sym
    • enabled
    • merge
    • window
    • scripts
    • raster
    • acquire
    • json
    • rtm
    • walk
    • ban

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下を実行します。

  • スパイウェアは、ファイル名に以下の文字列を含む古い自身のコピーを削除します。
    • langs
    • buffer
    • user
    • spooler
    • tlb
    • back
    • rus
    • browser
    • org
    • flg
    • psec
    • cyan
    • err
    • chapp
    • dmi
    • join
    • started
    • cat
    • reset
    • dmrc
    • scan
    • bang
    • ripple
    • page
    • ijpn
    • cabinet
    • dasmrc
    • mgm
    • body
    • sddl
    • listof
    • york
    • mobsync
    • modern
    • dialog
    • val
    • iell
    • rowset
    • hexa
    • english
    • crimson
    • wow
    • typeb
    • brown
    • flow
    • partner
    • picture
    • size
    • ordered
    • chunker
    • shooter
    • invoke
    • init
    • bus
    • pla
    • sav
    • ipsps
    • dbml
    • builder
    • sketch
    • cube
    • sup
    • loada
    • binder
  • スパイウェアは、管理者権限がある場合、スタートアップサービスを作成します。管理者権限がない場合は、レジストリに自動実行エントリのみを作成します。

<補足>
インストール

スパイウェアは、以下のフォルダを追加します。

  • %AppDataLocal%\{文字列1}{文字列2} → 管理者権限なしで実行された場合

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
  • %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
    上記の{文字列1}および{文字列2} には、以下のいずれかの文字列が当てはまります。
    • term
    • with
    • poller
    • indiana
    • shader
    • sti
    • dlgs
    • metered
    • asptlb
    • conman
    • plain
    • while
    • cpl
    • crash
    • teapot
    • device
    • adam
    • battery
    • trouble
    • caching
    • hand
    • hlf
    • hero
    • smc
    • readand
    • cpls
    • network
    • engn
    • mmc
    • lcl
    • pdh
    • clw
    • vista
    • client
    • pairs
    • fsi
    • medium
    • pdeft
    • known
    • reach
    • vert
    • boost
    • snd
    • fwk
    • builder
    • iab
    • mscms
    • ssp
    • cable
    • etw
    • angle
    • ordered
    • scalar
    • songs
    • ctnt
    • server
    • chinese
    • media
    • endif
    • supp
    • setthe
    • misc
    • diagram
    • urd

スパイウェアは、以下のプロセスを追加します。

  • {マルウェアのファイルパス}\{マルウェアのファイル名}.exe --{ランダムな8文字}
  • %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
  • %System%\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限ありで実行された場合
  • %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
  • %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限なしで実行された場合

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\I{ボリュームシリアルナンバー}
  • Global\M{ボリュームシリアルナンバー}

情報漏えい

スパイウェアは、以下の情報を収集します。

  • コンピュータ名
  • プロセスのセッションID
  • オペレーティングシステム（OS）のバージョン
  • 実行中のプロセス
  • CRCファイル
  • プロセッサアーキテクチャ

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

    • {BLOCKED}.{BLOCKED}.71.206:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.183.28:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.93.124:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.215.57:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.163.19:8090/{文字列}
    • {BLOCKED}.{BLOCKED}.124.145:443/{文字列}
    • {BLOCKED}.{BLOCKED}.77.40:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.{BLOCKED}.121:80/{文字列}
    • {BLOCKED}.{BLOCKED}.166.147:80/{文字列}
    • {BLOCKED}.{BLOCKED}.15.205:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.140.14:443/{文字列}
    • {BLOCKED}.{BLOCKED}.87.122:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.182.254:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.57.43:80/{文字列}
    • {BLOCKED}.{BLOCKED}.211.77:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.101.134:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.33.84:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.190.199:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.170.114:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.160.178:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.143.100:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.8.192:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.51.143:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.35.138:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.151.103:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.183.211:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.111.142:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.144.228:80/{文字列}
    • {BLOCKED}.{BLOCKED}.212.195:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.95.107:443/{文字列}
    • {BLOCKED}.{BLOCKED}.115.217:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.38.226:50000/{文字列}
    • {BLOCKED}.{BLOCKED}.160.224:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.237.140:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.159.3:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.32.59:80/{文字列}
    • {BLOCKED}.{BLOCKED}.41.228:990/{文字列}
    • {BLOCKED}.{BLOCKED}.74.202:443/{文字列}
    • {BLOCKED}.{BLOCKED}.32.171:80/{文字列}
    • {BLOCKED}.{BLOCKED}.83.179:80/{文字列}
    • {BLOCKED}.{BLOCKED}.171.51:80/{文字列}
    • {BLOCKED}.{BLOCKED}.102.71:8443/{文字列}
    • {BLOCKED}.{BLOCKED}.227.135:80/{文字列}
    • {BLOCKED}.{BLOCKED}.106.18:80/{文字列}
    • {BLOCKED}.{BLOCKED}.106.18:80/{文字列}
    • {BLOCKED}.{BLOCKED}.30.167:990/{文字列}
    • {BLOCKED}.{BLOCKED}.152.186:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.14.52:80/{文字列}
    • {BLOCKED}.{BLOCKED}.60.129:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.60.129:80/{文字列}
    • {BLOCKED}.{BLOCKED}.60.129:80/{文字列}
    • {BLOCKED}.{BLOCKED}.131.105:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.104.21:443/{文字列}
    • {BLOCKED}.{BLOCKED}.253.234:990/{文字列}
    • {BLOCKED}.{BLOCKED}.194.42:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.21.214:443/{文字列}
    • {BLOCKED}.{BLOCKED}.89.61:50000/{文字列}
    • {BLOCKED}.{BLOCKED}.11.143:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.141.218:80/{文字列}
    • {BLOCKED}.{BLOCKED}.132.93:990/{文字列}
    • {BLOCKED}.{BLOCKED}.41.111:443/{文字列}
    • {BLOCKED}.{BLOCKED}.95.172:80/{文字列}
    • {BLOCKED}.{BLOCKED}.148.222:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.198.10:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.97.25:80/{文字列}
    • {BLOCKED}.{BLOCKED}.253.20:21/{文字列}
    • {BLOCKED}.{BLOCKED}.166.242:80/{文字列}
    • {BLOCKED}.{BLOCKED}.122.122:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.42.205:443/{文字列}
    • {BLOCKED}.{BLOCKED}.164.248:80/{文字列}
    • {BLOCKED}.{BLOCKED}.17.210:443/{文字列}
    • {BLOCKED}.{BLOCKED}.153.203:443/{文字列}
    • {BLOCKED}.{BLOCKED}.163.131:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.187.151:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.204.126:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.173.247:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.158.155:80/{文字列}
    • {BLOCKED}.{BLOCKED}.93.230:80/{文字列}
    • {BLOCKED}.{BLOCKED}.237.27:443/{文字列}
    • {BLOCKED}.{BLOCKED}.106.4:7080/{文字列}
    • {BLOCKED}.{BLOCKED}.124.163:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.150.176:443/{文字列}
    • {BLOCKED}.{BLOCKED}.86.13:8080/{文字列}
    • {BLOCKED}.{BLOCKED}.58.132:8080/{文字列}
  • 上記の{文字列}には、以下のいずれかの文字列、またはいずれかを組み合わせた文字列が当てはまります。{文字列}は、 "/"により分けられています。
    • teapot
    • pnp
    • tpt
    • splash
    • site
    • codec
    • health
    • balloon
    • cab
    • odbc
    • badge
    • dma
    • psec
    • cookies
    • iplk
    • devices
    • enable
    • mult
    • prov
    • vermont
    • attrib
    • schema
    • iab
    • chunk
    • publish
    • prep
    • srvc
    • sess
    • ringin
    • nsip
    • stubs
    • img
    • add
    • xian
    • jit
    • free
    • pdf
    • loadan
    • arizona
    • tlb
    • forced
    • results
    • symbols
    • report
    • guids
    • taskbar
    • child
    • cone
    • glitch
    • entries
    • between
    • bml
    • usbccid
    • sym
    • enabled
    • merge
    • window
    • scripts
    • raster
    • acquire
    • json
    • rtm
    • walk
    • ban

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.464.03
初回 VSAPI パターンリリース日 2019年10月30日
VSAPI OPR パターンバージョン 15.465.00
VSAPI OPR パターンリリース日 2019年10月31日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

    • Troj.Win32.TRX.XXPE50FFF032P0005

手順 2

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {string1}{string2} = "%AppDataLocal%\{string1}{string2}\{string1}{string2}.exe"

手順 6

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • {string1}{string2}

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System%\{string1}{string2}.exe
  • %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe

手順 8

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %AppDataLocal%\{string1}{string2}

手順 9

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.EMOTET.TIABOFEF」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください