Trend Micro Security

TSPY_BANKER.YOTN

2014年6月6日
 別名:

Trojan:Win32/Dynamer!ac (Microsoft); RDN/PWS-Banker.dldr!i (McAfee); Trojan.Gen.2 (Symantec); Trojan-PSW.Win32.Tepfer.uaec (Kaspersky); Mal/VB-ABH (Sophos); LooksLike.Win32.Malware!vb (v) (Sunbelt); Trojan horse Downloader.Banload2.KMV (AVG)

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: スパイウェア
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 32,768 bytes
タイプ EXE
メモリ常駐 はい
発見日 2014年6月6日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AppService = "%Windows%\amyGtFaVZ724v989P93TomYfPo4A.exe"

スパイウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとスパイウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Description\
Microsoft\Rpc\UuidTemporaryData

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0\
HELPDIR

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}\TypeLib

HKEY_CLASSES_ROOT\CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}\InprocServer32

HKEY_CLASSES_ROOT\ASppa.cJPGU

HKEY_CLASSES_ROOT\CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}\InprocServer32

HKEY_CLASSES_ROOT\ASppa.cIMGU

HKEY_CLASSES_ROOT\CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}\InprocServer32

HKEY_CLASSES_ROOT\ASppa.Class

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Ext\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Ext\
PreApproved

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Ext\
PreApproved\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MAO Settings

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Ext

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Policies

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Internet Explorer\Main

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Description\
Microsoft\Rpc\UuidTemporaryData
NetworkAddress = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Description\
Microsoft\Rpc\UuidTemporaryData
NetworkAddressLocal = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
ProgID = "ASppa.cJPGU"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
TypeLib = "{32663202-30CF-42C9-8C59-5952AFD7C58C}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
VERSION = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ASppa.cJPGU
Clsid = "{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
ProgID = "ASppa.cIMGU"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
TypeLib = "{32663202-30CF-42C9-8C59-5952AFD7C58C}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
VERSION = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ASppa.cIMGU
Clsid = "{59167555-DE7B-4683-92E6-3E4B2406D36B}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
ProgID = "ASppa.Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
TypeLib = "{32663202-30CF-42C9-8C59-5952AFD7C58C}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
VERSION = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ASppa.Class
Clsid = "{082430E6-DD2D-4BEB-B736-5D74F0A765A6}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Ext\CLSID
{082430E6-DD2D-4BEB-B736-5D74F0A765A6} = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\MAO Settings
AddonLoadTimeThreshold = "271"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Ext
DisableAddonLoadTimePerformanceNotifications = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Policies
Ext = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Internet Explorer\Main
Enable Browser Extensions = "yes"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Ext
IgnoreFrameApprovalCheck = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Policies
IgnoreFrameApprovalCheck = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Isolation = "PMIL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
IsolationÏêùû1 = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AppService = "%Windows%\amyGtFaVZ724v989P93TomYfPo4A.exe"

作成活動

スパイウェアは、以下のファイルを作成します。

  • %User Temp%\~DF7243465.tmp
  • %User Temp%\~DF8234835.tmp
  • %User Temp%\~DF219764889177288112
  • %System%\yrr3m6gw.dll
  • %Windows%\amyGtFaVZ724v989P93TomYfPo4A.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

  • {BLOCKED}99.99
  • {BLOCKED}0.1
  • {BLOCKED}.251.120
  • {BLOCKED}5.80.68
  • {BLOCKED}0.146.230

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.700

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

起動中ブラウザのウインドウを全て閉じてください。

手順 4

不明なレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\Software\Description\Microsoft\Rpc
    • UuidTemporaryData
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
    • {32663202-30CF-42C9-8C59-5952AFD7C58C}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}
    • 1.0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0
    • FLAGS
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0
    • 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0\0
    • win32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{32663202-30CF-42C9-8C59-5952AFD7C58C}\1.0
    • HELPDIR
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
    • TypeLib
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
    • ProxyStubClsid
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
    • ProxyStubClsid32
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
    • TypeLib
  • In HKEY_CLASSES_ROOT\CLSID
    • {6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
    • InprocServer32
  • In HKEY_CLASSES_ROOT
    • ASppa.cJPGU
  • In HKEY_CLASSES_ROOT\CLSID
    • {59167555-DE7B-4683-92E6-3E4B2406D36B}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
    • InprocServer32
  • In HKEY_CLASSES_ROOT
    • ASppa.cIMGU
  • In HKEY_CLASSES_ROOT\CLSID
    • {082430E6-DD2D-4BEB-B736-5D74F0A765A6}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
    • InprocServer32
  • In HKEY_CLASSES_ROOT
    • ASppa.Class
  • In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Ext
    • CLSID
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext
    • PreApproved
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved
    • {082430E6-DD2D-4BEB-B736-5D74F0A765A6}
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer
    • MAO Settings
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
    • Ext
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion
    • Policies
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer
    • Main

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • AppService = "%Windows%\amyGtFaVZ724v989P93TomYfPo4A.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Description\Microsoft\Rpc\UuidTemporaryData
    • NetworkAddress = "{random values}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Description\Microsoft\Rpc\UuidTemporaryData
    • NetworkAddressLocal = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}\TypeLib
    • Version = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}\TypeLib
    • Version = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}\TypeLib
    • Version = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
    • ProgID = "ASppa.cJPGU"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
    • TypeLib = "{32663202-30CF-42C9-8C59-5952AFD7C58C}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}
    • VERSION = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ASppa.cJPGU
    • Clsid = "{6B9E8AFB-DE60-433C-865C-B7DCA95E5041}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
    • ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{90AE623F-A6F2-4D70-A141-FEC4FEF0C8F6}
    • ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
    • ProgID = "ASppa.cIMGU"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
    • TypeLib = "{32663202-30CF-42C9-8C59-5952AFD7C58C}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{59167555-DE7B-4683-92E6-3E4B2406D36B}
    • VERSION = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ASppa.cIMGU
    • Clsid = "{59167555-DE7B-4683-92E6-3E4B2406D36B}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
    • ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{8C2873E5-046B-4AA6-8AE2-5EDD2FA06DFD}
    • ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
    • ProgID = "ASppa.Class"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}\InprocServer32
    • ThreadingModel = "Apartment"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
    • TypeLib = "{32663202-30CF-42C9-8C59-5952AFD7C58C}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{082430E6-DD2D-4BEB-B736-5D74F0A765A6}
    • VERSION = "1.0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ASppa.Class
    • Clsid = "{082430E6-DD2D-4BEB-B736-5D74F0A765A6}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
    • ProxyStubClsid = "{00020424-0000-0000-C000-000000000046}"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{33AC222A-4010-49F6-8A3C-6E9726BDD8A2}
    • ProxyStubClsid32 = "{00020424-0000-0000-C000-000000000046}"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Ext\CLSID
    • {082430E6-DD2D-4BEB-B736-5D74F0A765A6} = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MAO Settings
    • AddonLoadTimeThreshold = "271"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ext
    • DisableAddonLoadTimePerformanceNotifications = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies
    • Ext = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Main
    • Enable Browser Extensions = "yes"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Ext
    • IgnoreFrameApprovalCheck = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies
    • IgnoreFrameApprovalCheck = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
    • Isolation = "PMIL"
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
    • IsolationÏêùû1 = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • AppService = "%Windows%\amyGtFaVZ724v989P93TomYfPo4A.exe"

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\~DF7243465.tmp
  • %User Temp%\~DF8234835.tmp
  • %User Temp%\~DF219764889177288112
  • %System%\yrr3m6gw.dll
  • %Windows%\amyGtFaVZ724v989P93TomYfPo4A.exe

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TSPY_BANKER.YOTN」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください