
TrojanSpy.Win32.PSKEYLOGGER.A
HackTool:Win32/GendowsBatch (MICROSOFT)
Windows

- マルウェアタイプ: スパイウェア/情報窃取型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のフォルダを追加します。
- %Program Files%\{BLOCKED}C51
- %System%\{BLOCKED}JSPCSP
- %Common Programs%\{BLOCKED}
- %Common Programs%\{BLOCKED}\51楷翑忒
- After uninstallation through ControlPanel or uninst.exe:
- %User Temp%\~nsuA.tmp
スパイウェアは、以下のファイルを作成します。
- %Program Files%\{BLOCKED}C51\51boxtrace.eti
- %Program Files%\{BLOCKED}C51\51fapiao.cer
- %Program Files%\{BLOCKED}C51\51fapiaotest.cer
- %Program Files%\{BLOCKED}C51\Assist.exe
- %Program Files%\{BLOCKED}C51\Assist.exe.Config
- %Program Files%\{BLOCKED}C51\BSWJURL.ini
- %Program Files%\{BLOCKED}C51\C51CloudInvoiceAdapter.exe
- %Program Files%\{BLOCKED}C51\C51CloudInvoiceProtect.exe
- %Program Files%\{BLOCKED}C51\C51InvoiceAssist.exe
- %Program Files%\{BLOCKED}C51\C51InvoiceGuide.exe
- %Program Files%\{BLOCKED}C51\CertDecoder.dll
- %Program Files%\{BLOCKED}C51\CertSecurity.dll
- %Program Files%\{BLOCKED}C51\CloudInvoiceAdapterService.exe
- %Program Files%\{BLOCKED}C51\DataTransferToolDownload.exe
- %Program Files%\{BLOCKED}C51\FQFQFQFQ.cer
- %Program Files%\{BLOCKED}C51\FWS51PTC.cer
- %Program Files%\{BLOCKED}C51\JSDiskDLL.dll
- %Program Files%\{BLOCKED}C51\JsDevInfoDll.dll
- %Program Files%\{BLOCKED}C51\JspInterface.dll
- %Program Files%\{BLOCKED}C51\LogCtrl.cfg
- %Program Files%\{BLOCKED}C51\NISEC_UKEYC.dll
- %Program Files%\{BLOCKED}C51\Net_Util.dll
- %Program Files%\{BLOCKED}C51\QWER1234.cer
- %Program Files%\{BLOCKED}C51\RSADecrypt.dll
- %Program Files%\{BLOCKED}C51\ReadAreaCode.dll
- %Program Files%\{BLOCKED}C51\RegAsm.exe
- %Program Files%\{BLOCKED}C51\SOFC.dll
- %Program Files%\{BLOCKED}C51\Sm2Clt.dll
- %Program Files%\{BLOCKED}C51\TaxBox.dll
- %Program Files%\{BLOCKED}C51\TaxUKeyBase.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-core-file-l1-2-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-core-file-l2-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-core-localization-l1-2-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-core-processthreads-l1-1-1.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-core-synch-l1-2-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-core-timezone-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-convert-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-environment-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-filesystem-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-heap-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-locale-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-math-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-multibyte-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-runtime-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-stdio-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-string-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-time-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\api-ms-win-crt-utility-l1-1-0.dll
- %Program Files%\{BLOCKED}C51\cryp_api.dll
- %Program Files%\{BLOCKED}C51\decodecert.dll
- %Program Files%\{BLOCKED}C51\delUKeyLog.bat
- %Program Files%\{BLOCKED}C51\download.exe
- %Program Files%\{BLOCKED}C51\ebasic__{BLOCKED}.dat
- %Program Files%\{BLOCKED}C51\gbfw.bat
- %Program Files%\{BLOCKED}C51\imgdecoder-gdip.dll
- %Program Files%\{BLOCKED}C51\imgdecoder-png.dll
- %Program Files%\{BLOCKED}C51\interface.ini
- %Program Files%\{BLOCKED}C51\libcrypto-1_1.dll
- %Program Files%\{BLOCKED}C51\libcurl.dll
- %Program Files%\{BLOCKED}C51\libcurl_7.67.0.dll
- %Program Files%\{BLOCKED}C51\libeay32.dll
- %Program Files%\{BLOCKED}C51\libssl-1_1.dll
- %Program Files%\{BLOCKED}C51\log4cxx.dll
- %Program Files%\{BLOCKED}C51\logo.ico
- %Program Files%\{BLOCKED}C51\msvcr100.dll
- %Program Files%\{BLOCKED}C51\msvcr71.dll
- %Program Files%\{BLOCKED}C51\paho-mqtt3c.dll
- %Program Files%\{BLOCKED}C51\privcfg.ini
- %Program Files%\{BLOCKED}C51\pthreadVC2.dll
- %Program Files%\{BLOCKED}C51\public.pem
- %Program Files%\{BLOCKED}C51\regasm.exe.config
- %Program Files%\{BLOCKED}C51\render-gdi.dll
- %Program Files%\{BLOCKED}C51\resprovider-7zip.dll
- %Program Files%\{BLOCKED}C51\sangfor.dll
- %Program Files%\{BLOCKED}C51\softSysVersion
- %Program Files%\{BLOCKED}C51\soui.dll
- %Program Files%\{BLOCKED}C51\sqlite3.dll
- %Program Files%\{BLOCKED}C51\ssleay32.dll
- %Program Files%\{BLOCKED}C51\swukeyinstaller.exe
- %Program Files%\{BLOCKED}C51\trust.txt
- %Program Files%\{BLOCKED}C51\trusttest.txt
- %Program Files%\{BLOCKED}C51\ucrtbase.dll
- %Program Files%\{BLOCKED}C51\uires.7z
- %Program Files%\{BLOCKED}C51\uires_ypy.7z
- %Program Files%\{BLOCKED}C51\ukeyinfo.ini
- %Program Files%\{BLOCKED}C51\uniAcceptFramework.dll
- %Program Files%\{BLOCKED}C51\uninst.ico
- %Program Files%\{BLOCKED}C51\update.exe
- %Program Files%\{BLOCKED}C51\utilities.dll
- %Program Files%\{BLOCKED}C51\vcredist.x86_2015.exe
- %Program Files%\{BLOCKED}C51\xihaa.dll
- %Program Files%\{BLOCKED}C51\ykpzs.cait
- %Program Files%\{BLOCKED}C51\zlib1.dll
- %Program Files%\{BLOCKED}C51\zlibwapi.dll
- %System%\ai109b_gm.dll
- %System%\CTptkcs.dll
- %System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe
- %System%\{BLOCKED}JSPCSP\cspPinDlg.dll
- %System%\{BLOCKED}JSPCSP\cspsign.dll
- %System%\{BLOCKED}JSPCSP\LYFCSP.dll
- %System%\{BLOCKED}JSPCSP\tokenh.dll
- %Common Programs%\{BLOCKED}\51楷翑忒\51楷翑忒.lnk
- %Common Programs%\{BLOCKED}\51楷翑忒\迠婥 51楷翑忒.lnk
- %Program Files%\{BLOCKED}C51\uninst.exe
- %User Temp%\dd_vcredist_x86_{YYYYMMDD}{Random Digits}.log
- Temporary files (attempt to delete afterwards):
- %User Temp%\ns{Random Characters}.tmp\killer.dll
- %User Temp%\ns{Random Characters}.tmp\System.dll
- %User Temp%\ns{Random Characters}.tmp\KillProcDLL.dll
- %User Temp%\ns{Random Characters}.tmp\nsExec.dll
- %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\wixstdba.dll
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\{Random Digits}\license.rtf
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\thm.xml
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\thm.wxl
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\logo.png
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\license.rtf
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\{Random Digits}\thm.wxl
- %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\BootstrapperApplicationData.xml
- After uninstallation through ControlPanel or uninst.exe:
- %User Temp%\~nsuA.tmp\Un_A.exe
- %User Temp%\~nsuA.tmp\Un_B.exe
スパイウェアは、以下のプロセスを追加します。
- "%User Temp%p\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "vcredist.x86_2015.exe" /quiet /install /norestart
- "vcredist.x86_2015.exe" /quiet /install /norestart
- "%Program Files%\{BLOCKED}C51\vcredist.x86_2015.exe" /quiet /install /norestart -burn.unelevated BurnPipe.{Generated GUID 1} {Generated GUID 2} {Random Value}
- "%Program Files%\{BLOCKED}C51\C51InvoiceGuide.exe"
- After uninstallation through ControlPanel or uninst.exe:
- "%User Temp%p\~nsuA.tmp\Un_B.exe" _?=%Program Files%\{BLOCKED}C51\
- "%User Temp%p\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /stop
- "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /stop
- "%User Temp%p\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /remove
- "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /remove
他のシステム変更
スパイウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
Image Path = %System%\ai109b_gm.dll
HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
DefaultApplication = SM2
HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
DefaultContainer = SM2CONTAINER
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
Image Path = %System%\{BLOCKED}JSPCSP\cspsign.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
Signature = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
Type = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
ATR = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
ATRMask = {Hex Values}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
Crypto Provider = {BLOCKED} Cryptographic Service Provider V1.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
DisplayName = 51楷翑忒 1.3.8
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
DisplayIcon = %Program Files%\{BLOCKED}C51\logo.ico
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
UninstallString = %Program Files%\{BLOCKED}C51\uninst.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
DisplayVersion = 1.3.8
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
URLInfoAbout = http://www.{BLOCKED}.com
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
Publisher = {BLOCKED}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
GroupFlag = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
LocalFlag = 0
その他
スパイウェアは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\gbskf
HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider
HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
対応方法
手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
自身のアンインストールオプションを使用し、「TrojanSpy.Win32.PSKEYLOGGER.A」を削除します。
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
- Image Path = %System%\ai109b_gm.dll
- Image Path = %System%\ai109b_gm.dll
- In HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
- DefaultApplication = SM2
- DefaultApplication = SM2
- In HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
- DefaultContainer = SM2CONTAINER
- DefaultContainer = SM2CONTAINER
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
- ATR = {Hex Values}
- ATR = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
- ATRMask = {Hex Values}
- ATRMask = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
- Crypto Provider = {BLOCKED} Cryptographic Service Provider V1.0
- Crypto Provider = {BLOCKED} Cryptographic Service Provider V1.0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
- Image Path = %System%\{BLOCKED}JSPCSP\cspsign.dll
- Image Path = %System%\{BLOCKED}JSPCSP\cspsign.dll
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
- Signature = {Hex Values}
- Signature = {Hex Values}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
- Type = 1
- Type = 1
手順 5
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- HKEY_LOCAL_MACHINE\SOFTWARE\gbskf
- HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider
- HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
手順 6
以下のファイルを検索し削除します。
- %User Temp%\ns{Random Characters}.tmp\killer.dll
- %User Temp%\ns{Random Characters}.tmp\System.dll
- %User Temp%\ns{Random Characters}.tmp\KillProcDLL.dll
- %User Temp%\ns{Random Characters}.tmp\nsExec.dll
- %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
- %System%\ai109b_gm.dll
- %System%\CTptkcs.dll
手順 7
以下のフォルダを検索し削除します。
- %User Temp%\ns{Random Characters}.tmp
手順 8
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win32.PSKEYLOGGER.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください