TSPY_POSLOGR.MSL

2015年7月12日

別名:

Mal/MSIL-LL (Sophos); ERROR (AVG)

プラットフォーム:

Windows

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 112,128 bytes

タイプ EXE

メモリ常駐なし

発見日 2015年7月9日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

hkey_local_machine\software\microsoft\
esent\process\{malware file name}

hkey_local_machine\software\microsoft\
esent\process\{malware file name}\
debug

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
EventMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryCount = "1"

(註：変更前の上記レジストリ値は、「10」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
TypesSupported = "7"

(註：変更前の上記レジストリ値は、「7」となります。)

作成活動

スパイウェアは、以下のファイルを作成します。

%Temp%\00-50-56-9F-3B-06.txt

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

{BLOCKED}8.1.1
{BLOCKED}8.1.2
{BLOCKED}8.1.3
{BLOCKED}8.1.4
{BLOCKED}8.1.5
{BLOCKED}8.1.6
{BLOCKED}8.1.7
{BLOCKED}8.1.8
{BLOCKED}8.1.9
{BLOCKED}8.1.10
{BLOCKED}8.1.11
{BLOCKED}8.1.12
{BLOCKED}8.1.13
{BLOCKED}8.1.14
{BLOCKED}8.1.15
{BLOCKED}8.1.16
{BLOCKED}8.1.17
{BLOCKED}8.1.18
{BLOCKED}8.1.19
{BLOCKED}8.1.20
{BLOCKED}8.1.21
{BLOCKED}8.1.22
{BLOCKED}8.1.23
{BLOCKED}8.1.24
{BLOCKED}8.1.25
{BLOCKED}8.1.26
{BLOCKED}8.1.27
{BLOCKED}8.1.28
{BLOCKED}8.1.29
{BLOCKED}8.1.30
{BLOCKED}8.1.31
{BLOCKED}8.1.32
{BLOCKED}8.1.33
{BLOCKED}8.1.34
{BLOCKED}8.1.35
{BLOCKED}8.1.36
{BLOCKED}8.1.37
{BLOCKED}8.1.38
{BLOCKED}8.1.39
{BLOCKED}8.1.40
{BLOCKED}8.1.41
{BLOCKED}8.1.42
{BLOCKED}8.1.43
{BLOCKED}8.1.44
{BLOCKED}8.1.45
{BLOCKED}8.1.46
{BLOCKED}8.1.47
{BLOCKED}8.1.48
{BLOCKED}8.1.49
{BLOCKED}8.1.50
{BLOCKED}8.1.51
{BLOCKED}8.1.52
{BLOCKED}8.1.53
{BLOCKED}8.1.54
{BLOCKED}8.1.55
{BLOCKED}8.1.56
{BLOCKED}8.1.57
{BLOCKED}8.1.58
{BLOCKED}8.1.59
{BLOCKED}8.1.60
{BLOCKED}8.1.61
{BLOCKED}8.1.62
{BLOCKED}8.1.63
{BLOCKED}8.1.64
{BLOCKED}8.1.65
{BLOCKED}8.1.66
{BLOCKED}8.1.67
{BLOCKED}8.1.68
{BLOCKED}8.1.69
{BLOCKED}8.1.70
{BLOCKED}8.1.71
{BLOCKED}8.1.72
{BLOCKED}8.1.73
{BLOCKED}8.1.74
{BLOCKED}8.1.75
{BLOCKED}8.1.76
{BLOCKED}8.1.77
{BLOCKED}8.1.78
{BLOCKED}8.1.79
{BLOCKED}8.1.80
{BLOCKED}8.1.81
{BLOCKED}8.1.82
{BLOCKED}8.1.83
{BLOCKED}8.1.84
{BLOCKED}8.1.85
{BLOCKED}8.1.86
{BLOCKED}8.1.87
{BLOCKED}8.1.88
{BLOCKED}8.1.89
{BLOCKED}8.1.90
{BLOCKED}8.1.91
{BLOCKED}8.1.92
{BLOCKED}8.1.93
{BLOCKED}8.1.94
{BLOCKED}8.1.95
{BLOCKED}8.1.96
{BLOCKED}8.1.97
{BLOCKED}8.1.98
{BLOCKED}8.1.99
{BLOCKED}8.1.100
{BLOCKED}8.1.101
{BLOCKED}8.1.102
{BLOCKED}8.1.103
{BLOCKED}8.1.104
{BLOCKED}8.1.105
{BLOCKED}8.1.106
{BLOCKED}8.1.107
{BLOCKED}8.1.108
{BLOCKED}8.1.109
{BLOCKED}8.1.110
{BLOCKED}8.1.111
{BLOCKED}8.1.112
{BLOCKED}8.1.113
{BLOCKED}8.1.114
{BLOCKED}8.1.115
{BLOCKED}8.1.116
{BLOCKED}8.1.117
{BLOCKED}8.1.118
{BLOCKED}8.1.119
{BLOCKED}8.1.120
{BLOCKED}8.1.122
{BLOCKED}8.1.123
{BLOCKED}8.1.124
{BLOCKED}8.1.125
{BLOCKED}8.1.126
{BLOCKED}8.1.127
{BLOCKED}8.1.128
{BLOCKED}8.1.129
{BLOCKED}8.1.130
{BLOCKED}8.1.131
{BLOCKED}8.1.132
{BLOCKED}8.1.133
{BLOCKED}8.1.134
{BLOCKED}8.1.135
{BLOCKED}8.1.136
{BLOCKED}8.1.137
{BLOCKED}8.1.138
{BLOCKED}8.1.139
{BLOCKED}8.1.140
{BLOCKED}8.1.141
{BLOCKED}8.1.142
{BLOCKED}8.1.143
{BLOCKED}8.1.144
{BLOCKED}8.1.145
{BLOCKED}8.1.146
{BLOCKED}8.1.147
{BLOCKED}8.1.148
{BLOCKED}8.1.149
{BLOCKED}8.1.150
{BLOCKED}8.1.151
{BLOCKED}8.1.152
{BLOCKED}8.1.153
{BLOCKED}8.1.154
{BLOCKED}8.1.155
{BLOCKED}8.1.156
{BLOCKED}8.1.157
{BLOCKED}8.1.158
{BLOCKED}8.1.159
{BLOCKED}8.1.160
{BLOCKED}8.1.161
{BLOCKED}8.1.162
{BLOCKED}8.1.163
{BLOCKED}8.1.164
{BLOCKED}8.1.165
{BLOCKED}8.1.166
{BLOCKED}8.1.167
{BLOCKED}8.1.168
{BLOCKED}8.1.169
{BLOCKED}8.1.170
{BLOCKED}8.1.171
{BLOCKED}8.1.172
{BLOCKED}8.1.173
{BLOCKED}8.1.174
{BLOCKED}8.1.175
{BLOCKED}8.1.176
{BLOCKED}8.1.177
{BLOCKED}8.1.178
{BLOCKED}8.1.179
{BLOCKED}8.1.180
{BLOCKED}8.1.181
{BLOCKED}8.1.182
{BLOCKED}8.1.183
{BLOCKED}8.1.184
{BLOCKED}8.1.185
{BLOCKED}8.1.186
{BLOCKED}8.1.187
{BLOCKED}8.1.188
{BLOCKED}8.1.189
{BLOCKED}8.1.190
{BLOCKED}8.1.191
{BLOCKED}8.1.192
{BLOCKED}8.1.193
{BLOCKED}8.1.194
{BLOCKED}8.1.195
{BLOCKED}8.1.196
{BLOCKED}8.1.197
{BLOCKED}8.1.198
{BLOCKED}8.1.199
{BLOCKED}8.1.200
{BLOCKED}8.1.201
{BLOCKED}8.1.202
{BLOCKED}8.1.203
{BLOCKED}8.1.204
{BLOCKED}8.1.205
{BLOCKED}8.1.206
{BLOCKED}8.1.207
{BLOCKED}8.1.208
{BLOCKED}8.1.209
{BLOCKED}8.1.210
{BLOCKED}8.1.211
{BLOCKED}8.1.212
{BLOCKED}8.1.213
{BLOCKED}8.1.214
{BLOCKED}8.1.215
{BLOCKED}8.1.216
{BLOCKED}8.1.217
{BLOCKED}8.1.218
{BLOCKED}8.1.219
{BLOCKED}8.1.220
{BLOCKED}8.1.221
{BLOCKED}8.1.222
{BLOCKED}8.1.223
{BLOCKED}8.1.224
{BLOCKED}8.1.225
{BLOCKED}8.1.226
{BLOCKED}8.1.227
{BLOCKED}8.1.228
{BLOCKED}8.1.229
{BLOCKED}8.1.230
{BLOCKED}8.1.231
{BLOCKED}8.1.232
{BLOCKED}8.1.233
{BLOCKED}8.1.234
{BLOCKED}8.1.235
{BLOCKED}8.1.236
{BLOCKED}8.1.237
{BLOCKED}8.1.238
{BLOCKED}8.1.239
{BLOCKED}8.1.240
{BLOCKED}8.1.241
{BLOCKED}8.1.242
{BLOCKED}8.1.243
{BLOCKED}8.1.244
{BLOCKED}8.1.245
{BLOCKED}8.1.246
{BLOCKED}8.1.247
{BLOCKED}8.1.248
{BLOCKED}8.1.249
{BLOCKED}8.1.250
{BLOCKED}8.1.251
{BLOCKED}8.1.252
{BLOCKED}8.1.253
{BLOCKED}8.1.254

このウイルス情報は、自動解析システムにより作成されました。

対応方法

対応検索エンジン: 9.750

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In hkey_local_machine\software\microsoft\esent\process
- {malware file name}

In hkey_local_machine\software\microsoft\esent\process\{malware file name}
- debug

手順 3

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\ESENT
- From: EventMessageFile = "%System%\ESENT.dll"
  To: EventMessageFile = ""{random values}""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\ESENT
- From: CategoryMessageFile = "%System%\ESENT.dll"
  To: CategoryMessageFile = ""{random values}""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\ESENT
- From: CategoryCount = "1"
  To: CategoryCount = ""10""

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\ESENT
- From: TypesSupported = "7"
  To: TypesSupported = ""7""

このマルウェアが変更したレジストリ値の修正：

「レジストリエディタ」を起動します。
- Windows 2000、XP および Server 2003 の場合：
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
- Windows Vista、7 および Server 2008 の場合：
  [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>Eventlog>Application>ESENT
右側のパネルで以下のレジストリ値を検索します。
EventMessageFile = "%System%\ESENT.dll"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
EventMessageFile = "{random values}"
再び、右側のパネルで以下のレジストリ値を検索します。
CategoryMessageFile = "%System%\ESENT.dll"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
CategoryMessageFile = "{random values}"
再び、右側のパネルで以下のレジストリ値を検索します。
CategoryCount = "1"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
CategoryCount = "10"
再び、右側のパネルで以下のレジストリ値を検索します。
TypesSupported = "7"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
TypesSupported = "7"
レジストリエディタを閉じます。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Temp%\00-50-56-9F-3B-06.txt

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_POSLOGR.MSL」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください