解析者: Mohammed Malubay   
 別名:

Virus:Win32/Viking.JB(MICROSOFT); W32.Looked.BK(NORTON); Worm.Win32.Viking.jo(KASPERSKY);

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    ファイル感染型ウイルス

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

感染経路 ファイルに感染, インターネットからのダウンロード

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、特定のプロセスに作成したファイルを組み込みます。

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。 ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。

ウイルスは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ウイルスは、情報収集する機能を備えていません。

  詳細

ファイルサイズ 95,232 bytes
タイプ EXE
メモリ常駐 はい
発見日 2020年10月9日
ペイロード URLまたはIPアドレスに接続, プロセスの強制終了

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のフォルダを追加します。

  • %Windows%\uninstall\

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Windows%\uninstall\rundl132.exe
  • If an infected file is executed:
    • %Windows%\Logo1_.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ウイルスは、以下のプロセスを追加します。

  • If an infected file is executed:
    • cmd /c %User Temp%\{temp filename].bat
    • %Windows%\Logo1_.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ウイルスは、以下のプロセスに作成したファイルを組み込みます。

  • explorer.exe
  • iexplore.exe

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
load = %Windows%\uninstall\rundl132.exe

他のシステム変更

ウイルスは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
DownloadWWW
auto = 1

ファイル感染

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

ウイルスは、以下のドライブ内で対象とするファイルを検索します。

  • C to Z (Fixed drives only)

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

  • .EXE

ウイルスは、以下の文字列を含むフォルダには感染しません。

  • system
  • system32
  • windows
  • Documents and Settings
  • System Volume Information
  • Recycled
  • winnt
  • Program Files\Windows NT
  • Program Files\WindowsUpdate
  • Program Files\Windows Media Player
  • Program Files\Outlook Express
  • Program Files\Internet Explorer
  • Program Files\ComPlus Applications
  • Program Files\NetMeeting
  • Program Files\Common Files
  • Program Files\Messenger
  • Program Files\InstallShield Installation Information
  • Program Files\Microsoft Frontpage
  • Program Files\Movie Maker
  • Program Files\MSN Gaming Zone

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

ルートキット機能

ウイルスは、ルートキット機能を備えていません。

プロセスの終了

ウイルスは、感染コンピュータ上で確認した以下のサービスを終了します。

  • Kingsoft AntiVirus Service

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • EGHOST.EXE
  • IPARMOR.EXE
  • KAVPFW.EXE
  • KRegEx.exe
  • KVMonXP.KXP
  • KVXP.KXP
  • MAILMON.EXE
  • mcshield.exe
  • RavMon.exe
  • Ravmond.EXE
  • regsvc.exe

作成活動

ウイルスは、以下のファイルを作成します。

  • %System Root%\_desktop.ini → contains date of infection
  • %Windows%\RichDll.dll → detected as TROJ_LOOKED.ACM
  • If an infected file is executed:
    • %User Temp%\{temp filename].bat → replaces infected file with original(uninfected) file

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

ウイルスは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

  • http://ad.{BLOCKED}u.com/bt1.exe
  • http://ad.{BLOCKED}u.com/bt2.exe
  • http://ad.{BLOCKED}u.com/bt3.exe
  • http://ad.{BLOCKED}u.com/bt4.exe
  • http://ad.{BLOCKED}u.com/bt5.exe
  • http://ad.{BLOCKED}u.com/bt6.exe
  • http://ad.{BLOCKED}u.com/bt7.exe
  • http://ad.{BLOCKED}u.com/bt8.exe
  • http://ad.{BLOCKED}u.com/bt9.exe
  • http://ad.{BLOCKED}u.com/bta.exe
  • http://ad.{BLOCKED}u.com/btb.exe
  • http://ad.{BLOCKED}u.com/btc.exe
  • http://ad.{BLOCKED}u.com/btd.exe
  • http://ad.{BLOCKED}u.com/bte.exe
  • http://ad.{BLOCKED}u.com/btf.exe
  • http://ad.{BLOCKED}u.com/btg.exe
  • http://ad.{BLOCKED}u.com/bth.exe
  • http://ad.{BLOCKED}u.com/bti.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ウイルスは、情報収集する機能を備えていません。

その他

ウイルスは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Soft

HKEY_LOCAL_MACHINE\Software\Soft\
DownloadWWW

ウイルスは、以下を実行します。

  • It prioritizes infection on the following executables:
    • ACDSee4.exe
    • ACDSee5.exe
    • ACDSee6.exe
    • AgzNew.exe
    • Archlord.exe
    • AutoUpdate.exe
    • autoupdate.exe
    • BNUpdate.exe
    • Datang.exe
    • editplus.exe
    • EXCEL.EXE
    • flashget.exe
    • foxmail.exe
    • FSOnline.exe
    • GameClient.exe
    • install.exe
    • jxonline_t.exe
    • launcher.exe
    • lineage.exe
    • LineageII.exe
    • MHAutoPatch.exe
    • Mir.exe
    • msnmsgr.exe
    • Mu.exe
    • my.exe
    • NATEON.exe
    • NSStarter.exe
    • Patcher.exe
    • patchupdate.exe
    • QQ.exe
    • Ragnarok.exe
    • realplay.exe
    • run.exe
    • setup.exe
    • Silkroad.exe
    • Thunder.exe
    • ThunderShell.exe
    • TTPlayer.exe
    • Uedit32.exe
    • Winrar.exe
    • WINWORD.EXE
    • woool.exe
    • zfs.exe
  • It then infects all executables in directories and subdirectories that do not have any of the executables.
  • This malware attempts to propagate via network shares. It uses administrator as its user name to gain access to the following default shares:
    • ADMIN$
    • IPC$
  • It closes window(s) related to the following processes:
    • avp.exe
    • RavMon.exe

注意:

ウイルスは、脆弱性を利用した感染活動を行いません。

＜補足＞
インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Windows%\uninstall\rundl132.exe
  • 感染ファイルが実行された場合：
    • %Windows%\Logo1_.exe

ウイルスは、以下のプロセスを追加します。

  • 感染ファイルが実行された場合：
    • cmd /c %User Temp%\{tempファイルの名前].bat
    • %Windows%\Logo1_.exe

ファイル感染

ウイルスは、以下のドライブ内で対象とするファイルを検索します。

  • C からZまで (固定ドライブのみ)

作成活動

ウイルスは、以下のファイルを作成します。

  • %System Root%\_desktop.ini → 感染した日付を含む
  • %Windows%\RichDll.dll → 「TROJ_LOOKED.ACM」として検出
  • 感染ファイルが実行された場合：
    • %User Temp%\{tempファイルの名前].bat → 感染ファイルをオリジナル（感染していない）ファイルと置き換える

その他

ウイルスは、以下を実行します。

  • ウイルスは、以下の実行可能ファイル上での感染を優先します。
    • ACDSee4.exe
    • ACDSee5.exe
    • ACDSee6.exe
    • AgzNew.exe
    • Archlord.exe
    • AutoUpdate.exe
    • autoupdate.exe
    • BNUpdate.exe
    • Datang.exe
    • editplus.exe
    • EXCEL.EXE
    • flashget.exe
    • foxmail.exe
    • FSOnline.exe
    • GameClient.exe
    • install.exe
    • jxonline_t.exe
    • launcher.exe
    • lineage.exe
    • LineageII.exe
    • MHAutoPatch.exe
    • Mir.exe
    • msnmsgr.exe
    • Mu.exe
    • my.exe
    • NATEON.exe
    • NSStarter.exe
    • Patcher.exe
    • patchupdate.exe
    • QQ.exe
    • Ragnarok.exe
    • realplay.exe
    • run.exe
    • setup.exe
    • Silkroad.exe
    • Thunder.exe
    • ThunderShell.exe
    • TTPlayer.exe
    • Uedit32.exe
    • Winrar.exe
    • WINWORD.EXE
    • woool.exe
    • zfs.exe
  • 次に、ウイルスは、上記の実行可能ファイルが存在しないディレクトリおよびサブディレクトリ内のすべての実行可能ファイルに感染します。
  • ウイルスは、ネットワーク共有フォルダを介して拡散しようと試みます。 ユーザ名としてadministratorを使用し、以下のデフォルト共有にアクセスします。
    • ADMIN$
    • IPC$
  • ウイルスは、以下のプロセスに関連するウインドウを閉じます。
    • avp.exe
    • RavMon.exe

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 16.284.07
初回 VSAPI パターンリリース日 2020年10月13日
VSAPI OPR パターンバージョン 16.285.00
VSAPI OPR パターンリリース日 2020年10月14日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

  • Troj.Win32.TRX.XXPE50FFF037

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    • load = %Windows%\uninstall\rundl132.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW
    • auto = 1

手順 6

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\Software\Soft
    • =
  • In HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW
    • =

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\Logo1_.exe
  • %Windows%\RichDll.dll
  • %Windows%\uninstall\rundl132.exe
  • %System Root%\_desktop.ini

手順 8

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\uninstall\

手順 9

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Virus.Win32.LOOKED.AA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください