Backdoor.Win32.VALLEYRAT.J

2026年10月5日

解析者: Mariefher Grace Villanueva

別名:

Win32:MalwareX-gen [Trj] (AVAST); Gen:Variant.Yogi.86617 (BITDEFENDER); Trojan.ValleyRatCiR (QUICKHEAL)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

詳細

ファイルサイズ 2,789,384 bytes

タイプ DLL

メモリ常駐なし

発見日 2026年9月28日

ペイロード URLまたはIPアドレスに接続, プロキシサーバとして機能, システムセキュリティへの感染活動, ファイルの削除, ファイルの作成, ファイルのダウンロード, ファイルの実行, 情報収集, プロセスの強制終了, その他

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

%User Temp%\{random}

マルウェアは、以下のファイルを作成します。

%User Temp%\{random}\{random}.{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\MetaData\{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\Content\{random}
%Temporary Internet Files%\IE\{random}\{random}.txt
%Temporary Internet Files%\IE\{random}\{random}.json

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocalLow%フォルダは、LocalLow アプリケーションデータフォルダです。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\LocalLow" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Console\0\
{random}

HKEY_CURRENT_USER\Software\{random}

HKEY_LOCAL_MACHINE\SOFTWARE\IpDates_i4

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
ActiveMovie\devenum
Version = 7

HKEY_CURRENT_USER\Console\0\
{random}
(Default) = {downloaded encrypted binary payload}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

acuf444.{BLOCKED}b:9999
acuf444.{BLOCKED}b:7800 ({BLOCKED}.{BLOCKED}.85.34:7800)
acuf444.{BLOCKED}b:7811 ({BLOCKED}.{BLOCKED}.85.34:7811)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

A2GUARD.exe
A2SERVICE.exe
AAKORE.exe
AFWSERV.exe
AHNSD.exe
ALYAC.exe
AMSPTELEMETRYSERVICE.exe
ASPSVC.exe
ASWENGSRV.exe
ASWIDSAGENT.exe
ASWTOOLSSVC.exe
AVASTBROWSERUPDATE.exe
AVASTSVC.exe
AVASTUI.exe
AVEMUPDATE.exe
AVG.exe
AVGNT.exe
AVGSERV.exe
AVIRA.SPOTLIGHT.SERVICE.exe
AVIRA.SPOTLIGHT.SYSTRAY.APPLICATION.exe
AVKWCTL.exe
AVP.exe
AVPSUS.exe
AVPUI.exe
AYAGENT.exe
AYRTSRV.exe
AYUPDSRV.exe
AYWSSRV.exe
BDAGENT.exe
BDNTWRK.exe
BDSSVC.exe
BGCORE.exe
BSSISS.exe
BULLGUARD.exe
BULLGUARDBH.exe
BULLGUARDUPDATE.exe
CCSVCHST.exe
CLAMSCAN.exe
CLAMTRAY.exe
CPDA.exe
CSFALCONSERVICE.exe
CYBER-PROTECT-SERVICE.exe
CYBERARK_EA.exe
CYLANCESVC.exe
CYLANCEUI.exe
CYVERASERVICE.exe
DEFENDERSESSIONHELPER.exe
EDRAGENT.exe
EDRSERVICE.exe
EFWD.exe
EGUI.exe
EGUIPROXY.exe
EKRN.exe
EMLPROXY.exe
ENDPOINTPROTECTION.exe
ENSIGNAGENT.exe
ENSIGNEDRSERVICE.exe
ENSIGNSERVICE.exe
ESERVICEHOST.exe
FCAUTH.exe
FORTICLIENT.exe
FORTIPROXY.exe
FORTISETTINGS.exe
FRESHCLAM.exe
FSAVED.exe
FSHOSTER.exe
GDSCAN.exe
HEALTHMON.exe
HEIMDAL.MONITOR.exe
HEIMDALGUARD.exe
HMPALERT.exe
ICARUS.exe
ICARUS_UI.exe
IGUPDATE.exe
INTEGOCONTEXT.exe
INTEGOSERVICE.exe
INVISIGUARD.exe
INVISIGUARDSERVICE.exe
K7AVMSCN.exe
K7AVQRNT.exe
K7AVSCAN.exe
K7CRVSVC.exe
K7CTSCAN.exe
K7EMLPXY.exe
K7FWSRVC.exe
K7PSSRVC.exe
K7RTSCAN.exe
K7SYSMON.exe
K7TLMTRY.exe
K7TSALRT.exe
K7TSECURITY.exe
K7TSHLPR.exe
K7TSMAIN.exe
K7TSMNGR.exe
K7TSREMINDER.exe
K7TSUPDT.exe
K7WS.exe
K7WSCSHL.exe
KLNAGENT.exe
MACMNSVC.exe
MASVC.exe
MC-FW-HOST.exe
MC-NEO-HOST.exe
MCCSPSERVICEHOST.exe
MCSAGENT.exe
MCSCLIENT.exe
MCSHIELD.exe
MCUICNT.exe
MFEAVSVC.exe
MFEMMS.exe
MFEVTPS.exe
MMS.exe
MMSSHOST.exe
MODULECORESERVICE.exe
MPCMDRUN.exe
MPDEFENDERCORESERVICE.exe
MSMPENG.exe
MSSENSE.exe
NISSRV.exe
NLLTOOLSSVC.exe
NORTONSVC.exe
NORTONUI.exe
NTRTSCAN.exe
NVAGENT.exe
NVSVC.exe
ONEDRIVE.exe
ONEDRIVESETUP.exe
ONEDRIVESTANDALONEUPDATER.exe
ONLINENT.exe
OPSSVC.exe
OVERSEER.exe
PCCNTMON.exe
PROTECTEDMODULEHOST.exe
PTSESSIONAGENT.exe
PTSVCHOST.exe
PTWATCHDOG.exe
QHCCMSVC.exe
QHPISVR.exe
QUHLPSVC.exe
QUICKUP.exe
REMIND.exe
REPMGR64.exe
REPRSVC.exe
REPUTILS32.exe
REPUX.exe
REPWSC64.exe
SAPISSVC.exe
SCANNER.exe
SCANWSCS.exe
SCSECSVC.exe
SECURITYHEALTHHOST.exe
SECURITYHEALTHSERVICE.exe
SECURITYHEALTHSYSTRAY.exe
SEDSERVICE.exe
SENSEIR.exe
SENTINELAGENT.exe
SENTINELBROWSERNATIVEHOST.exe
SENTINELHELPERSERVICE.exe
SENTINELSERVICEHOST.exe
SENTINELSTATICENGINE.exe
SENTRYEYE.exe
SHIELDANTIVIRUS.exe
SHIELDANTIVIRUSWS.exe
SHIELDAVUPDATER.exe
SHSTAT.exe
SMARTSCREEN.exe
SOPHOSCLEAN.exe
SOPHOSFILESCANNER.exe
SOPHOSFS.exe
SOPHOSHEALTH.exe
SOPHOSNETFILTER.exe
SOPHOSNTPSERVICE.exe
SOPHOSSAFESTORE.exe
SOPHOSUI.exe
SPSVC.exe
SSPSERVICE.exe
SYMCORPUI.exe
TMBMSRV.exe
TMLISTEN.exe
TMPROXY.exe
TRENDMICROSVC.exe
TRUEIMAGEHOMESERVICE.exe
UISEAGNT.exe
UIWATCHDOG.exe
UPDATESRV.exe
V3LITE.exe
V3RC.exe
V3SVC.exe
V3TNOTI.exe
VCAVSVC.exe
VCCORERES.exe
VPNSVC.exe
VSMON.exe
VSSERV.exe
WINDOWSSENSOR.exe
WSC_PROXY.exe
WSSRVC.exe

情報漏えい

マルウェアは、以下の情報を収集します。

Computer name
Username and local user SID
Operating system platform and architecture
External IP address and geolocation details
Installed security software and running process list

その他

マルウェアは、以下を実行します。

It creates the following service:
- Service Name: Alinubx
- Display Name: Alinubx
- Type: Kernel Driver (SERVICE_KERNEL_DRIVER)
- Start Type: Demand Start (SERVICE_DEMAND_START)
- Binary Path: %User Temp%\{random}\{random}.{random}
Implements fallback payload download routines using legitimate Windows binaries (`curl.exe`, `bitsadmin.exe`, `certutil.exe`)
It cannot run on its own and needs the previous steps in the attack chain to proceed with its intended routine.

マルウェアは、脆弱性を利用した感染活動を行いません。

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 21.354.04

初回 VSAPI パターンリリース日 2026年10月2日

VSAPI OPR パターンバージョン 21.355.00

VSAPI OPR パターンリリース日 2026年10月3日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

Troj.Win32.TRX.XXPE50FFF110

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

• Windows 10 の場合：

キーボードの「Windowsロゴ」キーおよび「（アルファベットの）i」キーを押して「設定」を開きます。これで開かない場合は「スタート」ボタンをクリックして「設定」を選択します。
「更新とセキュリティ」→「回復」を選択します。
「詳細起動」下にある「今すぐ再起動」を選択します。
再起動後、「オプションの選択」画面で「トラブルシューティング」→「詳細オプション」→「スタートアップ設定」→「再起動」を選択します。
再起動後、「オプションを選択するには、番号を押してください」が表示されます。「4)」を選択するか「F4」キーを押して、セーフモードで起動します。

手順 5

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Console\0\
- {random}
In HKEY_CURRENT_USER\Software\
- {random}
In HKEY_LOCAL_MACHINE\SOFTWARE\
- IpDates_i4
In HKEY_CURRENT_USER\Software\Microsoft\ActiveMovie\
- devenum
In HKEY_CURRENT_USER\Console\0\
- {random}
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
- Alinubx

このマルウェアが追加したレジストリキーの削除：

「レジストリエディタ」を起動します。
- Windows 2000、XP および Server 2003 の場合：
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、Enter を押します。
- Windows Vista、7 および Server 2008 の場合：
  [スタート]をクリックし、検索入力欄に regedit と入力し、Enter を押します。
- Windows 8、8.1、10 および Server 2012 の場合：
  画面の左下隅を右クリックし、[ファイル名を指定して実行]を選択します。入力ボックスに regedit と入力し、Enter を押します。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Console>0>
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{random}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{random}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
IpDates_i4
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>ActiveMovie>
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
devenum
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
{random}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>
上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。
Alinubx
「レジストリエディタ」を閉じます。

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\{random}\{random}.{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\MetaData\{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\Content\{random}
%Temporary Internet Files%\IE\{random}\{random}.txt
%Temporary Internet Files%\IE\{random}\{random}.json

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
%User Temp%\{random}\{random}.{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\MetaData\{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\Content\{random}
%Temporary Internet Files%\IE\{random}\{random}.txt
%Temporary Internet Files%\IE\{random}\{random}.json
[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

Windows Vista、7、Server 2008、8、8.1、10 および Server 2012 の場合：

Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合：
  - [スタート]-[コンピューター]を選択します。
- Windows 8、8.1、10 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
[コンピューターの検索]に、以下を入力します。
%User Temp%\{random}\{random}.{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\MetaData\{random}
%AppDataLocalLow%\Microsoft\CryptnetUrlCache\Content\{random}
%Temporary Internet Files%\IE\{random}\{random}.txt
%Temporary Internet Files%\IE\{random}\{random}.json
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 および Server 2008 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]

註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\{random}

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Backdoor.Win32.VALLEYRAT.J」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください