Trojan.Win32.WITCH.TL0101HU26ZM
Windows
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %User Temp%\~DFA3B5A3AA62CF85E4.TMP → deleted afterwards
- %Application Data%\VOS\MSNLite\VirtApp.ini
- %Application Data%\VOS\MSNLite\VirtApp.ini.20111227-161030.554.stamp
- %Application Data%\VOS\MSNLite\AppVirtDll_MSNLite.dll
- %Application Data%\VOS\MSNLite\AppVirtDll_MSNLite.dll.20111227-160957.085.stamp
- %Application Data%\VOS\MSNLite\AppVirtDll64_MSNLite.dll
- %Application Data%\VOS\MSNLite\AppVirtDll64_MSNLite.dll.20111227-160957.085.stamp
- %Application Data%\VOS\MSNLite\VirtFiles.db
- %Application Data%\VOS\MSNLite\VirtFiles.db.20111227-160957.101.stamp
- %Application Data%\VOS\MSNLite\SandboxCfg.db
- %Application Data%\VOS\MSNLite\SandboxCfg.db.20111227-161030.554.stamp
- %Application Data%\VOS\MSNLite\VirtReg.export
- %Application Data%\VOS\MSNLite\VirtReg.export.20111227-161030.558.stamp
- %Application Data%\VOS\MSNLite\%Desktop%\MSNLite.lnk
- %Application Data%\VOS\MSNLite\ZipCache
- %Application Data%\VOS\MSNLite\ZipCache.20111227-160957.117.stamp
- %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\MSNLite.exe
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat
- %Application Data%\VOS\MSNLite\VirtFiles.db.1584.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db → deleted afterwards
- %Application Data%\VOS\MSNLite\VirtFiles.db.2076.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db → deleted afterwards
- %Application Data%\VOS\MSNLite\VirtFiles.db.3208.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db → deleted afterwards
- %Application Data%\VOS\MSNLite\VirtFiles.db.1324.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db
- %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\ResourceDll.dll
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\UniformConfig
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat.new
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat.bak
- %Application Data% \VOS\MSNLite\VirtRegSync.tmp.export
(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)
マルウェアは、以下のプロセスを追加します。
- %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\MSNLite.exe
- "%System Root%\{Malware Directory}\{Malware Filename}.exe" -VirtRegSyncExport
(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\VOS
HKEY_CURRENT_USER\Software\VOS\
MSNLite
HKEY_CURRENT_USER\Software\VOS\
MSNLite
BaseDirName = %Application Data%\VOS\MSNLite
HKEY_CURRENT_USER\Software\VOS\
MSNLite
CarrierExeName = %System Root%\{Malware Directory}\{Malware Filename}.exe
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
SessionInformation
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
SessionInformation
ProgramCount = 1
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
{e2e2dd38-d088-4134-82b7-f2ba38496583} = 8192
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
NextId = 8194
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
FB5F1910-F110-11d2-BB9E-00C04F795683} = 8193
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_HVFPHG = 01 00 00 00 08 00 00 00 70 62 87 ED B1 C4 CC 01
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_EHACNGU = 01 00 00 00 07 00 00 00 50 D8 90 ED B1 C4 CC 01
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_EHACNGU:P:\Qbphzragf naq Frggvatf\Nqzvavfgengbe\桌面\ZFAYvgr_3.0.0.3991_Orgn_fsk_nmb.rkr data: 01 00 00 00 06 00 00 00 50 D8 90 ED B1 C4 CC 01 =
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings\Connections
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings\Connections
DefaultConnectionSettings = 3C 00 00 00 02 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 20 9D A4 EF B1 C4 CC 01 01 00 00 00 C0 A8 2C 82 00 00 00 00 00 00 00 00
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings\Connections
SavedLegacySettings = C 00 00 00 04 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 20 9D A4 EF B1 C4 CC 01 01 00 00 00 C0 A8 2C 82 00 00 00 00 00 00 00 00
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Shell Extensions
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Shell Extensions\Cached
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Shell Extensions\Cached
{FF393560-C2A7-11CF-BFF4-444553540000} {062E1261-A60E-11D0-82C2-00C04FD5AE38} 0x401 = 01 00 00 00 7C 6C 59 7D BE 9F 3F F0 B1 C4 CC 01
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
C:\Documents and Settings\Administrator\桌面\MSNLite_3.0.0.3991_Beta_sfx_azo.exe = MSNLite_3.0.0.3991_Beta_sfx_azo
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
@xpsp3res.dll,-20001 = 診斷連線問題...
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
Program Files%\MSNLite\MSNLite.exe = MSNLite
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft\Cryptography
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft\Cryptography\
RNG
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft\Cryptography\
RNG
Seed = 64 22 FE F0 D6 6B BB 6C F4 9F 9D E9 7A CD 54 1B 9F A0 78 AD 1A 30 0A 9F C6 7C C2 BB F0 D5 5B 42 A0 65 2C 45 85 29 B1 29 71 1B CF 18 A6 DC DD 9C DF CB 18 CA B9 B3 8C 7D A4 0C 45 62 1D 29 CD 15 3A D8 09 02 3E E1 B8 7A CD D4 6D 0C C4 65 60 B0
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%Desktop%>
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Hooks
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\VOS
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\VOS\MSNLite
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%Program Files%\MSNLite>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%Program Files%\MSNLite>X%Program Files%\MSNLite\MSNLite.exe>
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%_Classes
HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%_Classes\
CLSID
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = %AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>X%AppData%\MSNLite\DBStore\UniformConfig>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>X%AppData%\MSNLite\DBStore\UniformConfig>+8224|%AppData%\MSNLite\DBStore\global.dat.new>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>X%AppData%\MSNLite\DBStore\UniformConfig>+8224|%AppData%\MSNLite\DBStore\global.dat.new>X%AppData%\MSNLite\DBStore\global.dat.bak>
HKEY_CURRENT_USER\Software\VOS\
MSNLite
VirtRegSync.Low = 1965800240
マルウェアは、以下のレジストリキーを削除します。
HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity =
対応方法
手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
BaseDirName = %Application Data%\VOS\MSNLite
CarrierExeName = C:\_Tset\sam\sample.exe
ProgramCount = 1
{e2e2dd38-d088-4134-82b7-f2ba38496583} = 8192
NextId = 8194
{FB5F1910-F110-11d2-BB9E-00C04F795683} = 8193
HRZR_HVFPHG = 01 00 00 00 08 00 00 00 70 62 87 ED B1 C4 CC 01
HRZR_EHACNGU = 01 00 00 00 07 00 00 00 50 D8 90 ED B1 C4 CC 01
HRZR_EHACNGU:P:\Qbphzragf naq Frggvatf\Nqzvavfgengbe\桌面\ZFAYvgr_3.0.0.3991_Orgn_fsk_nmb.rkr = 01 00 00 00 06 00 00 00 50 D8 90 ED B1 C4 CC 01
DefaultConnectionSettings = 3C 00 00 00 02 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 20 9D A4 EF B1 C4 CC 01 01 00 00 00 C0 A8 2C 82 00 00 00 00 00 00 00 00
SavedLegacySettings = 3C 00 00 00 04 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 20 9D A4 EF B1 C4 CC 01 01 00 00 00 C0 A8 2C 82 00 00 00 00 00 00 00 00
{FF393560-C2A7-11CF-BFF4-444553540000} {062E1261-A60E-11D0-82C2-00C04FD5AE38} 0x401 = 01 00 00 00 7C 6C 59 7D BE 9F 3F F0 B1 C4 CC 01
C:\Documents and Settings\Administrator\桌面\MSNLite_3.0.0.3991_Beta_sfx_azo.exe = MSNLite_3.0.0.3991_Beta_sfx_azo
@xpsp3res.dll,-20001 = 診斷連線問題...
%Program Files%\MSNLite\MSNLite.exe = MSNLite
Seed = 64 22 FE F0 D6 6B BB 6C F4 9F 9D E9 7A CD 54 1B 9F A0 78 AD 1A 30 0A 9F C6 7C C2 BB F0 D5 5B 42 A0 65 2C 45 85 29 B1 29 71 1B CF 18 A6 DC DD 9C DF CB 18 CA B9 B3 8C 7D A4 0C 45 62 1D 29 CD 15 3A D8 09 02 3E E1 B8 7A CD D4 6D 0C C4 65 60 B0
VirtRegSync.Low = 1965800240
VirtRegSync.High = 31277358
手順 4
以下のファイルを検索し削除します。
- %Application Data%\VOS\MSNLite\VirtApp.ini
- %Application Data%\VOS\MSNLite\VirtApp.ini.20111227-161030.554.stamp
- %Application Data%\VOS\MSNLite\AppVirtDll_MSNLite.dll
- %Application Data%\VOS\MSNLite\AppVirtDll_MSNLite.dll.20111227-160957.085.stamp
- %Application Data%\VOS\MSNLite\AppVirtDll64_MSNLite.dll
- %Application Data%\VOS\MSNLite\AppVirtDll64_MSNLite.dll.20111227-160957.085.stamp
- %Application Data%\VOS\MSNLite\VirtFiles.db
- %Application Data%\VOS\MSNLite\VirtFiles.db.20111227-160957.101.stamp
- %Application Data%\VOS\MSNLite\SandboxCfg.db
- %Application Data%\VOS\MSNLite\SandboxCfg.db.20111227-161030.554.stamp
- %Application Data%\VOS\MSNLite\VirtReg.export
- %Application Data%\VOS\MSNLite\VirtReg.export.20111227-161030.558.stamp
- %Application Data%\VOS\MSNLite\%Desktop%\MSNLite.lnk
- %Application Data%\VOS\MSNLite\ZipCache
- %Application Data%\VOS\MSNLite\ZipCache.20111227-160957.117.stamp
- %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\MSNLite.exe
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat
- %Application Data%\VOS\MSNLite\VirtFiles.db
- %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\ResourceDll.dll
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\UniformConfig
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat.new
- %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat.bak
- %Application Data% \VOS\MSNLite\VirtRegSync.tmp.export
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.Win32.WITCH.TL0101HU26ZM」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください