Trend Micro Security

PE_SALITY.EW

2015年2月10日
 プラットフォーム:

Windows

 危険度:
 感染確認数:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのウイルスが削除されるのを避けます。

  詳細

ファイルサイズ 75,264 bytes
タイプ EXE
メモリ常駐 なし
発見日 2015年2月10日

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

ウイルスは、以下のファイルを削除します。

  • %User Temp%\vdbnq.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc

HKEY_CURRENT_USER\Software\Yqshjvw

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233

ウイルスは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = "{malware path and file name}:*:enabled:ipsec"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_0 = "13ce4c5e"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_0 = "5c1"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_0 = "136a29"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_0 = "0"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_1 = "5185ba7e"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_1 = "626c7bb"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_1 = "636f37e"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_1 = "626c6957"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_2 = "2fd2114"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_2 = "c4d8cf6a"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_2 = "c5dbb887"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_2 = "c4d8d2ae"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_3 = "19fc465c"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_3 = "27452783"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_3 = "2646562c"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_3 = "27453c5"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_4 = "e25e9a61"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_4 = "89b1bce8"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_4 = "88b2cf75"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_4 = "89b1a55c"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_5 = "448b68c5"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_5 = "ec1e147b"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_5 = "ed1d649a"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_5 = "ec1eeb3"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_6 = "99611ba"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_6 = "4e8a6ace"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_6 = "4f891223"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_6 = "4e8a78a"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_7 = "1b5f59d2"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_7 = "bf6fda9"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_7 = "b1f58b48"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_7 = "bf6e161"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_8 = "b9116172"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_8 = "136351e"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_8 = "126291"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_8 = "13634ab8"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_9 = "cd5c652"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_9 = "75cfa5e3"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_9 = "74ccde26"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_9 = "75cfb4f"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_10 = "cd1f1da2"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_10 = "d83c1ae"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_10 = "d93f774f"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_10 = "d83c1d66"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_11 = "8de1eae9"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_11 = "3aa89697"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_11 = "3babec94"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_11 = "3aa886bd"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_12 = "b1a4a5"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_12 = "9d14d16"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_12 = "9c179a3d"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_12 = "9d14f14"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_13 = "b861718"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_13 = "ff81426b"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_13 = "fe823342"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_13 = "ff81596b"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_14 = "58f7fba"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_14 = "61edd3ea"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_14 = "6eea8eb"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_14 = "61edc2c2"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_15 = "8d757776"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_15 = "c45a3b95"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_15 = "c559463"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_15 = "c45a2c19"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_16 = "55a8ea4b"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_16 = "26c63a4"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_16 = "27c5ff59"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_16 = "26c6957"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_17 = "d19bebc"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_17 = "8932e7a3"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_17 = "883194ee"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_17 = "8932fec7"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_18 = "8888a52f"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_18 = "eb9f7f6e"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_18 = "ea9c237"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_18 = "eb9f681e"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_19 = "744921c9"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_19 = "4ebc1e"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_19 = "4f8bb5c"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_19 = "4ebd175"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_20 = "32991fa6"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_20 = "b781ace"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_20 = "b17b5e5"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_20 = "b783acc"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_21 = "f1c4c77"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_21 = "12e4b534"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_21 = "13e7cea"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_21 = "12e4a423"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_22 = "4b52b7a4"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_22 = "755114fe"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_22 = "74526753"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_22 = "7551d7a"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_23 = "5915b6c"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_23 = "d7bd6153"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_23 = "d6be1cf8"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_23 = "d7bd76d1"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_24 = "b4da4952"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_24 = "3a29f9d2"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_24 = "3b2a8a1"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_24 = "3a29e28"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_25 = "c3234ce"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_25 = "9c96561f"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_25 = "9d952356"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_25 = "9c96497f"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_26 = "edf411a"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_26 = "ff2a722"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_26 = "fe1d8ff"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_26 = "ff2b2d6"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_27 = "18ebd793"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_27 = "616f9a"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_27 = "66c764"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_27 = "616f1c2d"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_28 = "f572dfbf"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_28 = "c3db9f9d"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_28 = "c2d8efad"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_28 = "c3db8584"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_29 = "6754125"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_29 = "2647f721"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_29 = "274484f2"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_29 = "2647eedb"

HKEY_CURRENT_USER\Software\Yqshjvw
W1_30 = "1eb44549"

HKEY_CURRENT_USER\Software\Yqshjvw
W2_30 = "88b44d15"

HKEY_CURRENT_USER\Software\Yqshjvw
W3_30 = "89b7321b"

HKEY_CURRENT_USER\Software\Yqshjvw
W4_30 = "88b45832"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
1651272023 = "6"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
-992423250 = "0"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
658848773 = "0"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
-1984846500 = "1e"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
-333574477 = "43"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
1317697546 = "{random characters}"

HKEY_CURRENT_USER\Software\Yqshjvw\
1926745233
-1325997727 = "{random characters}"

ウイルスは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
AppMgmt

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
Base

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
Boot Bus Extender

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
Boot file system

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
CryptSvc

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
DcomLaunch

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
dmadmin

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
dmboot.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
dmio.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
dmload.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
dmserver

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
EventLog

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
File system

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
Filter

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
HelpSvc

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
Netlogon

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
PCI Configuration

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
PlugPlay

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
PNP Filter

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
Primary disk

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
RpcSs

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
SCSI Class

作成活動

ウイルスは、以下のファイルを作成します。

  • %Windows%\c8fd

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.700

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

不明なレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • Svc
  • In HKEY_CURRENT_USER\Software
    • Yqshjvw
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • 1926745233

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UacDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • UpdatesDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • UacDisableNotify = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • GlobalUserOffline = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • {malware path and file name} = "{malware path and file name}:*:enabled:ipsec"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DoNotAllowExceptions = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DisableNotifications = "1"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_0 = "13ce4c5e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_0 = "5c1"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_0 = "136a29"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_0 = "0"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_1 = "5185ba7e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_1 = "626c7bb"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_1 = "636f37e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_1 = "626c6957"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_2 = "2fd2114"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_2 = "c4d8cf6a"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_2 = "c5dbb887"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_2 = "c4d8d2ae"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_3 = "19fc465c"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_3 = "27452783"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_3 = "2646562c"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_3 = "27453c5"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_4 = "e25e9a61"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_4 = "89b1bce8"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_4 = "88b2cf75"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_4 = "89b1a55c"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_5 = "448b68c5"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_5 = "ec1e147b"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_5 = "ed1d649a"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_5 = "ec1eeb3"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_6 = "99611ba"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_6 = "4e8a6ace"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_6 = "4f891223"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_6 = "4e8a78a"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_7 = "1b5f59d2"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_7 = "bf6fda9"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_7 = "b1f58b48"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_7 = "bf6e161"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_8 = "b9116172"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_8 = "136351e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_8 = "126291"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_8 = "13634ab8"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_9 = "cd5c652"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_9 = "75cfa5e3"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_9 = "74ccde26"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_9 = "75cfb4f"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_10 = "cd1f1da2"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_10 = "d83c1ae"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_10 = "d93f774f"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_10 = "d83c1d66"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_11 = "8de1eae9"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_11 = "3aa89697"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_11 = "3babec94"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_11 = "3aa886bd"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_12 = "b1a4a5"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_12 = "9d14d16"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_12 = "9c179a3d"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_12 = "9d14f14"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_13 = "b861718"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_13 = "ff81426b"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_13 = "fe823342"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_13 = "ff81596b"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_14 = "58f7fba"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_14 = "61edd3ea"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_14 = "6eea8eb"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_14 = "61edc2c2"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_15 = "8d757776"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_15 = "c45a3b95"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_15 = "c559463"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_15 = "c45a2c19"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_16 = "55a8ea4b"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_16 = "26c63a4"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_16 = "27c5ff59"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_16 = "26c6957"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_17 = "d19bebc"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_17 = "8932e7a3"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_17 = "883194ee"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_17 = "8932fec7"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_18 = "8888a52f"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_18 = "eb9f7f6e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_18 = "ea9c237"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_18 = "eb9f681e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_19 = "744921c9"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_19 = "4ebc1e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_19 = "4f8bb5c"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_19 = "4ebd175"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_20 = "32991fa6"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_20 = "b781ace"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_20 = "b17b5e5"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_20 = "b783acc"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_21 = "f1c4c77"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_21 = "12e4b534"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_21 = "13e7cea"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_21 = "12e4a423"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_22 = "4b52b7a4"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_22 = "755114fe"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_22 = "74526753"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_22 = "7551d7a"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_23 = "5915b6c"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_23 = "d7bd6153"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_23 = "d6be1cf8"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_23 = "d7bd76d1"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_24 = "b4da4952"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_24 = "3a29f9d2"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_24 = "3b2a8a1"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_24 = "3a29e28"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_25 = "c3234ce"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_25 = "9c96561f"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_25 = "9d952356"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_25 = "9c96497f"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_26 = "edf411a"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_26 = "ff2a722"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_26 = "fe1d8ff"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_26 = "ff2b2d6"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_27 = "18ebd793"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_27 = "616f9a"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_27 = "66c764"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_27 = "616f1c2d"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_28 = "f572dfbf"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_28 = "c3db9f9d"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_28 = "c2d8efad"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_28 = "c3db8584"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_29 = "6754125"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_29 = "2647f721"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_29 = "274484f2"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_29 = "2647eedb"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W1_30 = "1eb44549"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W2_30 = "88b44d15"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W3_30 = "89b7321b"
  • In HKEY_CURRENT_USER\Software\Yqshjvw
    • W4_30 = "88b45832"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • 1651272023 = "6"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • -992423250 = "0"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • 658848773 = "0"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • -1984846500 = "1e"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • -333574477 = "43"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • 1317697546 = "{random characters}"
  • In HKEY_CURRENT_USER\Software\Yqshjvw\1926745233
    • -1325997727 = "{random characters}"

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: Hidden = "2"
      To: Hidden = ""2""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UpdatesDisableNotify = "1"

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\c8fd

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_SALITY.EW」と検出したファイルの駆除を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %User Temp%\vdbnq.exe

手順 8

以下の削除されたレジストリキーまたはレジストリ値をバックアップを用いて修復します。

※註：マイクロソフト製品に関連したレジストリキーおよびレジストリ値のみが修復されます。このマルウェアもしくはアドウェア等が同社製品以外のプログラムも削除した場合には、該当プログラムを再度インストールする必要があります。

  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • AppMgmt
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • Base
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • Boot Bus Extender
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • Boot file system
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • CryptSvc
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • DcomLaunch
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • dmadmin
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • dmboot.sys
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • dmio.sys
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • dmload.sys
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • dmserver
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • EventLog
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • File system
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • Filter
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • HelpSvc
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • Netlogon
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • PCI Configuration
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • PlugPlay
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • PNP Filter
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • Primary disk
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • RpcSs
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal
    • SCSI Class


ご利用はいかがでしたか？　アンケートにご協力ください