• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.W97M.DLOADR.TIOIBENH

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

作成活動

マルウェアは、以下のファイルを作成します。

• If connection to the provided URL is successful:
  • If OS version is Windows 2000, XP, and Server 2003:
    • %User Temp%\17055.bat
    • %User Temp%\17055.vbs
  • If OS version is Windows Vista, 7, 8, and above:
    • %User Temp%\17055.bat
    • %User Temp%\17055.ps1
    • %User Temp%\17055.vbs

  (註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

  ダウンロード活動

  マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

  • http://{BLOCKED}r.info/tmp/1623871254.txt
  • http://{BLOCKED}r.info/tmp/lns.txt

  ただし、情報公開日現在、このWebサイトにはアクセスできません。

  その他

  マルウェアは、以下を実行します。

  • The document contains the following message details luring users to enable macro content:
  • If connection is successful, it replaces the old content of the document and displays the following:
  • If connection is successful, it adds the following process:
    • cmd.exe /c %User Temp%\17055.bat

  ---

    対応方法

  対応検索エンジン: 9.800

  初回 VSAPI パターンバージョン 16.718.05

  初回 VSAPI パターンリリース日 2021年5月14日

  VSAPI OPR パターンバージョン 16.719.00

  VSAPI OPR パターンリリース日 2021年5月15日

  手順 1

  トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

  • Downloader.VBA.TRX.XXVBAF01FF015

  手順 2

  Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

  手順 3

  このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

  手順 4

  以下のファイルを検索し削除します。

  [ 詳細 ]

  [ 戻る ]

  コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  

  • %User Temp%\17055.bat
  • %User Temp%\17055.ps1
  • %User Temp%\17055.vbs

  マルウェアのコンポーネントファイルの削除：

• Windows 2000、XP および Server 2003 の場合：
  1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
  2. [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
      
     • %User Temp%\17055.bat
     • %User Temp%\17055.ps1
     • %User Temp%\17055.vbs
  3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
  4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  5. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

• Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：
  1. Windowsエクスプローラ画面を開きます。
     • Windows Vista、7 および Server 2008 の場合：
       • [スタート]-[コンピューター]を選択します。
     • Windows 8、8.1 および Server 2012 の場合：
       • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
  2. [コンピューターの検索]に、以下を入力します。
      
     • %User Temp%\17055.bat
     • %User Temp%\17055.ps1
     • %User Temp%\17055.vbs
  3. ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  4. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
     註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。