![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
TSPY_ONLINEG.NKR
PWS:Win32/OnLineGames.KQ (Microsoft), Trojan.Gampass.E (Symantec), PWS-Mmorpg!bbt (McAfee)
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: スパイウェア
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。
- ALYac.aye
- AYAgent.aye
- AYServiceNT.aye
- NaverAgent.exe
- Nsavsvc.npc
- NSVMON.NPC
- nvc.npc
- nvcagent.npc
- pcotp.exe
- SkyMon.exe
- SystemMon.exe
情報漏えい
スパイウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。
- AION GameClient (AION.bin)
- Diablo III (Diablo III.exe)
- Dragon Knights (dkonline.exe)
- Dungeon & Fighter (dnf.exe)
- FIFA Online (ff2client.exe)
- Heroes of the Pacific (heroes.exe)
- MapleStory (MapleStory.exe)
- Ncsoft Lineage (lin.bin)
- Rohan Online Game (fairyclient.exe)
- The Exiled Realm of Arborea (TERA.exe, ExLauncher.exe)
- Tibia Player (OTP.exe)
- World of Warcraft (wow.exe)
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED}z.info/qaz/an3/post.asp
- http://{BLOCKED}z.info/qaz/an3otp/post.asp
- http://{BLOCKEDE}z.info/qaz/dk/post.asp
- http://{BLOCKED}z.info/qaz/dnf/post.asp
- http://{BLOCKED}z.info/qaz/dnfotp/post.asp
- http://{BLOCKED}z.info/qaz/hg/post.asp
- http://{BLOCKED}z.info/qaz/luoqi/post.asp
- http://{BLOCKED}z.info/qaz/mxd/post.asp
- http://{BLOCKED}z.info/qaz/mxdotp/post.asp
- http://{BLOCKED}z.info/qaz/net/post.asp
- http://{BLOCKED}z.info/qaz/pm/post.asp
- http://{BLOCKED}z.info/qaz/tera/post.asp
- http://{BLOCKED}z.info/qaz/tian1/post.asp
- http://{BLOCKED}uccww.com/666cash/post.asp
- http://{BLOCKED}uccww.com/666lq/post.asp
- http://{BLOCKED}uccww.com/666wowow/post.asp
- http://{BLOCKED}uccww.com/666woyh/post.asp
- http://{BLOCKED}z.info/qaz/dnfotp/post.asp
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TSPY_ONLINEG.NKR」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「TSPY_ONLINEG.NKR」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 5
ファイルを元の場所に復元します。
- [スタート]-[ファイル名を指定して実行]を選択し、以下を入力ます。
command /c copy %System%\ws2helpxp.dll %System%\ws2help.dll - [OK]をクリックします。
※上記コマンドは、半角英数字で入力する必要があります(大文字/小文字は区別されません)。
ご利用はいかがでしたか? アンケートにご協力ください