TrojanSpy.Win64.XEELASTEAL.A

2024年3月4日

解析者: John Rainier Navato

別名:

UDS:Trojan-PSW.Win64.Agent.a (KASPERSKY)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

詳細

ファイルサイズ 19,612,903 bytes

タイプ EXE

メモリ常駐はい

発見日 2023年10月23日

ペイロード URLまたはIPアドレスに接続, ファイルの作成, ファイルの作成, ウインドウの表示, キー入力操作情報の記録, プロセスの強制終了, 情報収集

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%AppDataLocal%\WindowsUpdateChecker\AutoUpdater.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のファイルを作成します。

%System Root%\__tmp_rar_sfx_access_check_{Random}
%System Root%\şirket-ruhsat.pdf.exe → information stealer
%System Root%\BNG 824 ruhsat.pdf → serves as a decoy pdf file
%User Temp%\login_data_copy.db

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

"{Path To Default PDF Document Reader}" "%System Root%\BNG 824 ruhsat.pdf"
%System Root%\şirket-ruhsat.pdf.exe
%System%\cmd.exe /c "ver"
wmic csproduct get uuid
taskkill /IM chrome.exe
%System%\cmd.exe /c "powershell.exe -NoProfile -ExecutionPolicy Bypass -EncodedCommand {Base64 Encoded Command}"
%System%\cmd.exe /c "tasklist /FO LIST"
powershell.exe Get-Clipboard
powershell.exe -Command "$clipboardData = Get-Clipboard -Format Image $destinationPath = \"%User Temp%\{UUID}\last_clipboard_image.png\" $clipboardData.Save($destinationPath)"
%System%\cmd.exe /c "echo ####System Info#### & systeminfo & echo ####System Version#### & ver & echo ####Host Name#### & hostname & echo ####Environment Variable#### & set & echo ####Logical Disk#### & wmic logicaldisk get caption,description,providername & echo ####User Info#### & net user & echo ####Startup Info#### & wmic startup get caption,command & echo ####Firewallinfo#### & netsh firewall show state"
netsh.exe netsh wlan export profile key=clear
%System%\cmd.exe /c "netsh wlan show profile"
%System%\cmd.exe /c "netsh wlan show profile {profile} key=clear"
schtasks /create /f /sc onlogon /rl highest /tn "AutoUpdateChecker" /tr "%AppData%\WindowsUpdateChecker\AutoUpdater.exe"

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のフォルダを作成します。

%User Temp%\{UUID}
%User Temp%\{UUID}\Passwords
%User Temp%\{UUID}\Cards
%User Temp%\{UUID}\Cookies
%User Temp%\{UUID}\Downloads
%User Temp%\{UUID}\Historys
%User Temp%\{UUID}\Firefox
%User Temp%\{UUID}\Instagram
%User Temp%\{UUID}\Twitter
%User Temp%\{UUID}\Tiktok
%User Temp%\{UUID}Reddit
%User Temp%\{UUID}\Discord
%User Temp%\{UUID}\Steam
%User Temp%\{UUID}\Roblox
%AppDataLocal%\WindowsUpdateChecker

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

Exela

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

chrome.exe

作成活動

スパイウェアは、収集した情報を保存するために以下のファイルを作成します。

%User Temp%\{UUID}\Passwords\Passwords.txt
%User Temp%\{UUID}\Cards\Cards.txt
%User Temp%\{UUID}\Cookies\Cookies.txt
%User Temp%\{UUID}\Downloads\Downloads.txt
%User Temp%\{UUID}\Historys\Historys.txt
%User Temp%\{UUID}Firefox\History.txt
%User Temp%\{UUID}\Firefox\Cookies.txt
%User Temp%\{UUID}\Instagram\instagram.txt
%User Temp%\{UUID}\Twitter\Twitter.txt
%User Temp%\{UUID}\Tiktok\Tiktok.txt
%User Temp%\{UUID}Reddit\Reddit.txt
%User Temp%\{UUID}\Discord\Discord.txt
%User Temp%\{UUID}\Steam\Steam.txt
%User Temp%\{UUID}\Roblox\Roblox.txt
%User Temp%\{UUID}\Display({Index of Display}).png
%User Temp%\{UUID}\active_window.txt
%User Temp%\{UUID}\process_list.txt
%User Temp%\{UUID}\last_clipboard_text.txt
%User Temp%\{UUID}\last_clipboard_image.png
%User Temp%\{UUID}\system_info.txt
%User Temp%\{UUID}\Wifi.txt
%User Temp%\{UUID}.zip
%User Temp%\key_logs.txt

情報漏えい

スパイウェアは、以下の情報を収集します。

Browser Data (e.g. Browsing History, Cookies, Credit Card Information, Download History, Log In Credentials)
- Brave
- Chrome
- Edge
- Firefox (Browsing History and Cookies only)
- Opera
- Opera GX
- Vivaldi
Online Account Information
- Discord
  - Billing Information
  - Biography
  - Email
  - Multifactor Authentication Status
  - Phone Number
  - Profile Picture
  - Subscription Type
  - Token
  - User ID
  - Username
- Instagram
  - Biography
  - Email
  - Full Name
  - Profile Picture
  - Profile URL
  - Session ID
  - Username
  - Verification Status
- Reddit
  - Coins
  - Comment Karma
  - Email
  - Gold Status
  - Moderator Status
  - Profile Picture
  - Profile URL
  - Total Karma
  - Username
- Roblox
  - Email
  - Email Verification Status
  - Profile Picture
  - Profile URL
  - Robux Count
  - User ID
  - Username
- Steam
  - Account Creation Date
  - Player Level
  - Profile Picture
  - Profile URL
  - Steam ID
  - Username
- Tiktok
  - Coins
  - Email
  - Phone Number
  - Profile URL
  - User ID
  - Username
- Twitter
  - Account Creation Date
  - Biography
  - Follower Count
  - Following Count
  - Profile Picture
  - Profile URL
  - Screen Name
  - Total Tweets
  - Username
  - Verification Status
System Information
- Active Window
- BIOS Version
- Boot Time
- Clipboard Data
- Domain
- Environment Variables
- Hostname
- Input Locale
- Installed Updates
- Logon Server
- Manufacturer
- Model
- Network Cards
- Running Processes
- Screenshot Of All Connected Displays
- Startup Programs
- System Locale
- Time Zone
- Type
- User Accounts
- Virtual Memory Information
- Wifi Network Credentials
- Windows Firewall Status
- OS Information
  - Name
  - Version
  - Manufacturer
  - Configuration
  - Build Type
  - Registered Owner
  - Registered Organization
  - Product ID
  - Original Install Date
- CPU Information
  - Name
  - Count
  - Frequency
  - Manufacturer
  - Memory Information
  - Slot
  - Capacity
  - Manufacturer
  - Part Number
  - Speed
  - Type
- GPU Information
  - Name
  - Memory
  - Usage
- Logical Disk Information
  - Disk Name
  - Mount Point
  - File System Type
  - Capacity
  - Used Space
  - Free Space
  - Usage Percentage

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

https://{BLOCKED}d.com/api/webhooks/1139506512302194789/X_VYZdAHscWQNKWvya9KWqqqTK6UjVvS86_kUy8P8OyCcPhKykCQpEqf93S_qDFVuzp8

その他

スパイウェアは、以下を実行します。

It displays the following as a decoy document:
It terminates itself when the affected system's UUID is one of the following:
- 00000000-0000-0000-0000-000000000000
- 00000000-0000-0000-0000-AC1F6BD048FE
- 00000000-0000-0000-0000-AC1F6BD04972
- 00000000-0000-0000-0000-AC1F6BD04C9E
- 032E02B4-0499-05C3-0806-3C0700080009
- 03DE0294-0480-05DE-1A06-350700080009
- 11111111-2222-3333-4444-555555555555
- 129B5E6B-E368-45D4-80AB-D4F106495924
- 44B94D56-65AB-DC02-86A0-98143A7423BF
- 49434D53-0200-9036-2500-369025000C65
- 49434D53-0200-9036-2500-369025003AF0
- 49434D53-0200-9036-2500-36902500F022
- 49434D53-0200-9065-2500-65902500E439
- 4C4C4544-0050-3710-8058-CAC04F59344A
- 4D4DDC94-E06C-44F4-95FE-33A1ADA5AC27
- 5BD24D56-789F-8468-7CDC-CAA7222CC121
- 63203342-0EB0-AA1A-4DF5-3FB37DBB0670
- 6608003F-ECE4-494E-B07E-1C4615D1D93C
- 67E595EB-54AC-4FF0-B5E3-3DA7C7B547E3
- 6F3CA5EC-BEC9-4A4D-8274-11168F640058
- 71DC2242-6EA2-C40B-0798-B4F5B4CC8776
- 777D84B3-88D1-451C-93E4-D235177420A7
- 79AF5279-16CF-4094-9758-F88A616D81B4
- 7AB5C494-39F5-4941-9163-47F54D6D5016
- 8B4E8278-525C-7343-B825-280AEBCD3BCB
- 8F384129-F079-456E-AE35-16608E317F4F
- A15A930C-8251-9645-AF63-E45AD728C20C
- ADEEEE9E-EF0A-6B84-B14B-B83A54AFC548
- B1112042-52E8-E25B-3655-6A4F54155DBF
- C7D23342-A5D4-68A1-59AC-CF40F735B363
- D9142042-8F51-5EFF-D5F8-EE9AE3D1602A
- E6833342-780F-56A2-6F92-77DACC2EF8B3
- EB16924B-FB6D-4FA1-8666-17B91F62FB37
It terminates itself if the affected system's computer name is one of the following:
- 3u2v9m8
- 6C4E733F-C2D9-4
- 8Nl0ColNQ5bq
- 8VizSM
- Abby
- ARCHIBALDPC
- B30F0242-1C6A-4
- BEE7370C-8C0C-4
- COMPNAME_4491
- d1bnJkfVlH
- DESKTOP-1PYKP29
- DESKTOP-1Y2433R
- DESKTOP-5OV9S0O
- DESKTOP-7XC6GEZ
- DESKTOP-B0T93D6
- DESKTOP-BQISITB
- DESKTOP-D019GDM
- DESKTOP-NAKFFMT
- DESKTOP-NNSJYNR
- DESKTOP-TKGQ6GH
- DESKTOP-VRSQLAG
- DESKTOP-WG3MYJS
- DESKTOP-WI8CLET
- Frank
- george
- HEUeRzl
- hmarc
- JOANNA
- John
- JOHN-PC
- JOHN-PC
- Julia
- JULIA-PC
- KATHLROGE
- kEecfMwgj
- Lisa
- LISA-PC
- lmVwjj9b
- ORELEEPC
- patex
- Peter Wilson
- PqONjHVwexsS
- PxmdUOpVyx
- Q9IATRKPRH
- QarZhrdBpj
- RALPHS-PC
- RDhJ0CNFevzX
- SERVER1
- w0fjuOVmCcP5A
- WDAGUtilityAccount
- WILEYPC
- WIN-5E07COS9ALR
- WINZDS-21T43RNG
- WORK
- XC64ZB
It connects to the following URLs while using the acquired browser cookies to retrieve online account information:
- https://{BLOCKED}agram.com/api/v1/accounts/current_user/?edit=true
- https://{BLOCKED}r.com/i/api/1.1/account/update_profile.json
- https://{BLOCKED}ok.com/passport/web/account/info/?aid=1459&app_language=de-DE&app_name=tiktok_web&battery_info=1&browser_languagede-DE&browser_name=Mozilla&browser_online=true&browser_platform=Win32&browser_version=5.0%20%28Windows%20NT%2010.0%3B%20Win64%3B%20x6%29%20AppleWebKit%2F537.36%20%28KHTML%2C%20like%20Gecko%29%20Chrome%2F112.0.0.0%20Safari%2F537.36&channel=tiktok_web&cookie_enabled=tue&device_platform=web_pc&focus_state=true&from_page=fyp&history_len=2&is_fullscreen=false&is_page_visible=true&os=windows&priority_rgion=DE&referer=®ion=DE&screen_height=1080&screen_width=1920&tz_name=Europe%2FBerlin&webcast_language=de-DE
- https://{BLOCKED}t.tiktok.com/webcast/wallet_api/diamond_buy/permission/?aid=1988&app_language=de-DE&app_name=tiktok_web&battery_inf=1&browser_language=de-DE&browser_name=Mozilla&browser_online=true&browser_platform=Win32&browser_version=5.0%20%28Windows%20NT%2010.%3B%20Win64%3B%20x64%29%20AppleWebKit%2F537.36%2%28KHTML%2C%20like%20Gecko%29%20Chrome%2F112.0.0.0%20Safari%2F537.36&channel=tiktok_web&cookie_enabled=true
- https://{BLOCKED}ts.reddit.com/api/access_token
- https://{BLOCKED}blox.com/my/account/json
- https://{BLOCKED}y.roblox.com/v1/users/{User ID}/currency
- https://{BLOCKED}ails.roblox.com/v1/users/avatar?userIds={User ID}&size=420x420&format=Png&isCircular=false
- https://{BLOCKED}eampowered.com/ISteamUser/GetPlayerSummaries/v0002/?key=440D7F4D810EF9298D25EDDF37C1F902&steamids={Steam ID}
- https://{BLOCKED}eampowered.com/IPlayerService/GetSteamLevel/v1/?key=440D7F4D810EF9298D25EDDF37C1F902&steamid={Steam ID}
- https://{BLOCKED}d.com/api/v8/users/@me
- https://{BLOCKED}d.com/api/v6/users/@me/billing/payment-sources
- https://{BLOCKED}scordapp.com/avatars/{Discord ID}/{Discord Profile Picture URL}.png

以下のスケジュールされたタスクを追加します：

Task Name: AutoUpdateChecker
Trigger: At log on of any user
Action: Start a Program - %AppDataLocal%\WindowsUpdateChecker\AutoUpdater.exe

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 19.190.04

初回 VSAPI パターンリリース日 2024年3月1日

VSAPI OPR パターンバージョン 19.191.00

VSAPI OPR パターンリリース日 2024年3月2日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

Troj.Win32.TRX.XXPE50FFF078

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

• Windows 10 の場合：

キーボードの「Windowsロゴ」キーおよび「（アルファベットの）i」キーを押して「設定」を開きます。これで開かない場合は「スタート」ボタンをクリックして「設定」を選択します。
「更新とセキュリティ」→「回復」を選択します。
「詳細起動」下にある「今すぐ再起動」を選択します。
再起動後、「オプションの選択」画面で「トラブルシューティング」→「詳細オプション」→「スタートアップ設定」→「再起動」を選択します。
再起動後、「オプションを選択するには、番号を押してください」が表示されます。「4)」を選択するか「F4」キーを押して、セーフモードで起動します。

手順 5

セーフモード時のスケジュールタスクの削除方法

セーフモードのまま、以下の{タスク名}-{実行するタスク}のリストを使用し、以下のステップで確認する必要があります。
- Task Name: AutoUpdateChecker
  Task to be run: %AppDataLocal%\WindowsUpdateChecker\AutoUpdater.exe
Windows 7 および Server 2008 (R2) をご使用の場合は、[スタート] > [コンピューター] をクリックします。
- Windows 8、8.1、10、Server 2012をご使用の場合は、画面左下で右クリックし、「ファイルエクスプローラ」をクリックします。
PCの検索欄に、次のように入力します。
- System%\Tasks\{タスク名}
ファイルを選択し、SHIFT+DELETEキーを押して削除します。
レジストリエディタを開き、以下を実行してください。
- Windows 7およびServer 2008（R2）をご使用の場合は、［スタート］ボタンをクリックし、［検索］入力フィールドに「regedit」と入力し、Enterキーを押します。
- Windows 8、8.1、10、およびServer 2012（R2）をご使用の場合は、画面の左下隅を右クリックし、［実行］をクリックして、テキストボックスに「regedit」と入力します。
レジストリエディタウィンドウの左パネルで、以下をダブルクリックします。
- HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{タスク名}
作成されたエントリを探し、レジストリ値のデータをメモする。
- ID={タスクデータ}
データを記録した後、レジストリキーを削除します。
- HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{タスク名}
レジストリエディタウィンドウの左パネルで、以下をダブルクリックします。
- HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tasks
左側のパネルで、手順6で配置したTask Dataと同じ名前のレジストリキーを探して削除します。
- ={タスクデータ}
レジストリエディタを閉じます。

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%AppDataLocal%\WindowsUpdateChecker\AutoUpdater.exe
%System Root%\__tmp_rar_sfx_access_check_{Random}
%System Root%\BNG 824 ruhsat.pdf
%System Root%\şirket-ruhsat.pdf.exe
%User Temp%\login_data_copy.db
%User Temp%\{UUID}\Passwords\Passwords.txt
%User Temp%\{UUID}\Cards\Cards.txt
%User Temp%\{UUID}\Cookies\Cookies.txt
%User Temp%\{UUID}\Downloads\Downloads.txt
%User Temp%\{UUID}\Historys\Historys.txt
%User Temp%\{UUID}Firefox\History.txt
%User Temp%\{UUID}\Firefox\Cookies.txt
%User Temp%\{UUID}\Instagram\instagram.txt
%User Temp%\{UUID}\Twitter\Twitter.txt
%User Temp%\{UUID}\Tiktok\Tiktok.txt
%User Temp%\{UUID}Reddit\Reddit.txt
%User Temp%\{UUID}\Discord\Discord.txt
%User Temp%\{UUID}\Steam\Steam.txt
%User Temp%\{UUID}\Roblox\Roblox.txt
%User Temp%\{UUID}\Display({Index of Display}).png
%User Temp%\{UUID}\active_window.txt
%User Temp%\{UUID}\process_list.txt
%User Temp%\{UUID}\last_clipboard_text.txt
%User Temp%\{UUID}\last_clipboard_image.png
%User Temp%\{UUID}\system_info.txt
%User Temp%\{UUID}\Wifi.txt
%User Temp%\{UUID}.zip
%User Temp%\key_logs.txt

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
%AppDataLocal%\WindowsUpdateChecker\AutoUpdater.exe
%System Root%\__tmp_rar_sfx_access_check_{Random}
%System Root%\BNG 824 ruhsat.pdf
%System Root%\şirket-ruhsat.pdf.exe
%User Temp%\login_data_copy.db
%User Temp%\{UUID}\Passwords\Passwords.txt
%User Temp%\{UUID}\Cards\Cards.txt
%User Temp%\{UUID}\Cookies\Cookies.txt
%User Temp%\{UUID}\Downloads\Downloads.txt
%User Temp%\{UUID}\Historys\Historys.txt
%User Temp%\{UUID}Firefox\History.txt
%User Temp%\{UUID}\Firefox\Cookies.txt
%User Temp%\{UUID}\Instagram\instagram.txt
%User Temp%\{UUID}\Twitter\Twitter.txt
%User Temp%\{UUID}\Tiktok\Tiktok.txt
%User Temp%\{UUID}Reddit\Reddit.txt
%User Temp%\{UUID}\Discord\Discord.txt
%User Temp%\{UUID}\Steam\Steam.txt
%User Temp%\{UUID}\Roblox\Roblox.txt
%User Temp%\{UUID}\Display({Index of Display}).png
%User Temp%\{UUID}\active_window.txt
%User Temp%\{UUID}\process_list.txt
%User Temp%\{UUID}\last_clipboard_text.txt
%User Temp%\{UUID}\last_clipboard_image.png
%User Temp%\{UUID}\system_info.txt
%User Temp%\{UUID}\Wifi.txt
%User Temp%\{UUID}.zip
%User Temp%\key_logs.txt
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%AppDataLocal%\WindowsUpdateChecker\AutoUpdater.exe
%System Root%\__tmp_rar_sfx_access_check_{Random}
%System Root%\BNG 824 ruhsat.pdf
%System Root%\şirket-ruhsat.pdf.exe
%User Temp%\login_data_copy.db
%User Temp%\{UUID}\Passwords\Passwords.txt
%User Temp%\{UUID}\Cards\Cards.txt
%User Temp%\{UUID}\Cookies\Cookies.txt
%User Temp%\{UUID}\Downloads\Downloads.txt
%User Temp%\{UUID}\Historys\Historys.txt
%User Temp%\{UUID}Firefox\History.txt
%User Temp%\{UUID}\Firefox\Cookies.txt
%User Temp%\{UUID}\Instagram\instagram.txt
%User Temp%\{UUID}\Twitter\Twitter.txt
%User Temp%\{UUID}\Tiktok\Tiktok.txt
%User Temp%\{UUID}Reddit\Reddit.txt
%User Temp%\{UUID}\Discord\Discord.txt
%User Temp%\{UUID}\Steam\Steam.txt
%User Temp%\{UUID}\Roblox\Roblox.txt
%User Temp%\{UUID}\Display({Index of Display}).png
%User Temp%\{UUID}\active_window.txt
%User Temp%\{UUID}\process_list.txt
%User Temp%\{UUID}\last_clipboard_text.txt
%User Temp%\{UUID}\last_clipboard_image.png
%User Temp%\{UUID}\system_info.txt
%User Temp%\{UUID}\Wifi.txt
%User Temp%\{UUID}.zip
%User Temp%\key_logs.txt
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\{UUID}
%User Temp%\{UUID}\Passwords
%User Temp%\{UUID}\Cards
%User Temp%\{UUID}\Cookies
%User Temp%\{UUID}\Downloads
%User Temp%\{UUID}\Historys
%User Temp%\{UUID}\Firefox
%User Temp%\{UUID}\Instagram
%User Temp%\{UUID}\Twitter
%User Temp%\{UUID}\Tiktok
%User Temp%\{UUID}Reddit
%User Temp%\{UUID}\Discord
%User Temp%\{UUID}\Steam
%User Temp%\{UUID}\Roblox
%AppDataLocal%\WindowsUpdateChecker

このマルウェアまたはアドウェア等が作成したフォルダの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
%User Temp%\{UUID}
%User Temp%\{UUID}\Passwords
%User Temp%\{UUID}\Cards
%User Temp%\{UUID}\Cookies
%User Temp%\{UUID}\Downloads
%User Temp%\{UUID}\Historys
%User Temp%\{UUID}\Firefox
%User Temp%\{UUID}\Instagram
%User Temp%\{UUID}\Twitter
%User Temp%\{UUID}\Tiktok
%User Temp%\{UUID}Reddit
%User Temp%\{UUID}\Discord
%User Temp%\{UUID}\Steam
%User Temp%\{UUID}\Roblox
%AppDataLocal%\WindowsUpdateChecker
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 4.）を繰り返してください。
%User Temp%\{UUID}
%User Temp%\{UUID}\Passwords
%User Temp%\{UUID}\Cards
%User Temp%\{UUID}\Cookies
%User Temp%\{UUID}\Downloads
%User Temp%\{UUID}\Historys
%User Temp%\{UUID}\Firefox
%User Temp%\{UUID}\Instagram
%User Temp%\{UUID}\Twitter
%User Temp%\{UUID}\Tiktok
%User Temp%\{UUID}Reddit
%User Temp%\{UUID}\Discord
%User Temp%\{UUID}\Steam
%User Temp%\{UUID}\Roblox
%AppDataLocal%\WindowsUpdateChecker

註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%User Temp%\{UUID}
%User Temp%\{UUID}\Passwords
%User Temp%\{UUID}\Cards
%User Temp%\{UUID}\Cookies
%User Temp%\{UUID}\Downloads
%User Temp%\{UUID}\Historys
%User Temp%\{UUID}\Firefox
%User Temp%\{UUID}\Instagram
%User Temp%\{UUID}\Twitter
%User Temp%\{UUID}\Tiktok
%User Temp%\{UUID}Reddit
%User Temp%\{UUID}\Discord
%User Temp%\{UUID}\Steam
%User Temp%\{UUID}\Roblox
%AppDataLocal%\WindowsUpdateChecker
検索が終了したら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.）から 3.）を繰り返してください。
%User Temp%\{UUID}
%User Temp%\{UUID}\Passwords
%User Temp%\{UUID}\Cards
%User Temp%\{UUID}\Cookies
%User Temp%\{UUID}\Downloads
%User Temp%\{UUID}\Historys
%User Temp%\{UUID}\Firefox
%User Temp%\{UUID}\Instagram
%User Temp%\{UUID}\Twitter
%User Temp%\{UUID}\Tiktok
%User Temp%\{UUID}Reddit
%User Temp%\{UUID}\Discord
%User Temp%\{UUID}\Steam
%User Temp%\{UUID}\Roblox
%AppDataLocal%\WindowsUpdateChecker

註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win64.XEELASTEAL.A 」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください