• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.Win32.WITCH.TL0101HU26ZM

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\~DFA3B5A3AA62CF85E4.TMP → deleted afterwards
• %Application Data%\VOS\MSNLite\VirtApp.ini
• %Application Data%\VOS\MSNLite\VirtApp.ini.20111227-161030.554.stamp
• %Application Data%\VOS\MSNLite\AppVirtDll_MSNLite.dll
• %Application Data%\VOS\MSNLite\AppVirtDll_MSNLite.dll.20111227-160957.085.stamp
• %Application Data%\VOS\MSNLite\AppVirtDll64_MSNLite.dll
• %Application Data%\VOS\MSNLite\AppVirtDll64_MSNLite.dll.20111227-160957.085.stamp
• %Application Data%\VOS\MSNLite\VirtFiles.db
• %Application Data%\VOS\MSNLite\VirtFiles.db.20111227-160957.101.stamp
• %Application Data%\VOS\MSNLite\SandboxCfg.db
• %Application Data%\VOS\MSNLite\SandboxCfg.db.20111227-161030.554.stamp
• %Application Data%\VOS\MSNLite\VirtReg.export
• %Application Data%\VOS\MSNLite\VirtReg.export.20111227-161030.558.stamp
• %Application Data%\VOS\MSNLite\%Desktop%\MSNLite.lnk
• %Application Data%\VOS\MSNLite\ZipCache
• %Application Data%\VOS\MSNLite\ZipCache.20111227-160957.117.stamp
• %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\MSNLite.exe
• %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat
• %Application Data%\VOS\MSNLite\VirtFiles.db.1584.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db → deleted afterwards
• %Application Data%\VOS\MSNLite\VirtFiles.db.2076.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db → deleted afterwards
• %Application Data%\VOS\MSNLite\VirtFiles.db.3208.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db → deleted afterwards
• %Application Data%\VOS\MSNLite\VirtFiles.db.1324.tmp → rename to → %Application Data%\VOS\MSNLite\VirtFiles.db
• %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\ResourceDll.dll
• %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\UniformConfig
• %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat.new
• %Application Data%\VOS\MSNLite\%AppData%\MSNLite\DBStore\global.dat.bak
• %Application Data% \VOS\MSNLite\VirtRegSync.tmp.export

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下のプロセスを追加します。

• %Application Data%\VOS\MSNLite\%Program Files%\MSNLite\MSNLite.exe
• "%System Root%\{Malware Directory}\{Malware Filename}.exe" -VirtRegSyncExport

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\VOS

HKEY_CURRENT_USER\Software\VOS\
MSNLite

HKEY_CURRENT_USER\Software\VOS\
MSNLite
BaseDirName = %Application Data%\VOS\MSNLite

HKEY_CURRENT_USER\Software\VOS\
MSNLite
CarrierExeName = %System Root%\{Malware Directory}\{Malware Filename}.exe

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
SessionInformation

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
SessionInformation
ProgramCount = 1

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
{e2e2dd38-d088-4134-82b7-f2ba38496583} = 8192

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
NextId = 8194

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Internet Explorer\
Extensions\CmdMapping
FB5F1910-F110-11d2-BB9E-00C04F795683} = 8193

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_HVFPHG = 01 00 00 00 08 00 00 00 70 62 87 ED B1 C4 CC 01

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_EHACNGU = 01 00 00 00 07 00 00 00 50 D8 90 ED B1 C4 CC 01

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Explorer\UserAssist\
{75048700-EF1F-11D0-9888-006097DEACF9}\Count
HRZR_EHACNGU:P:\Qbphzragf naq Frggvatf\Nqzvavfgengbe\桌面\ZFAYvgr_3.0.0.3991_Orgn_fsk_nmb.rkr data: 01 00 00 00 06 00 00 00 50 D8 90 ED B1 C4 CC 01 =

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings\Connections

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings\Connections
DefaultConnectionSettings = 3C 00 00 00 02 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 20 9D A4 EF B1 C4 CC 01 01 00 00 00 C0 A8 2C 82 00 00 00 00 00 00 00 00

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Internet Settings\Connections
SavedLegacySettings = C 00 00 00 04 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 20 9D A4 EF B1 C4 CC 01 01 00 00 00 C0 A8 2C 82 00 00 00 00 00 00 00 00

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Shell Extensions

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Shell Extensions\Cached

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
CurrentVersion\Shell Extensions\Cached
{FF393560-C2A7-11CF-BFF4-444553540000} {062E1261-A60E-11D0-82C2-00C04FD5AE38} 0x401 = 01 00 00 00 7C 6C 59 7D BE 9F 3F F0 B1 C4 CC 01

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
C:\Documents and Settings\Administrator\桌面\MSNLite_3.0.0.3991_Beta_sfx_azo.exe = MSNLite_3.0.0.3991_Beta_sfx_azo

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
@xpsp3res.dll,-20001 = 診斷連線問題...

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\Microsoft\Windows\
ShellNoRoam\MUICache
Program Files%\MSNLite\MSNLite.exe = MSNLite

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft\Cryptography

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft\Cryptography\
RNG

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\MACHINE\
SOFTWARE\Microsoft\Cryptography\
RNG
Seed = 64 22 FE F0 D6 6B BB 6C F4 9F 9D E9 7A CD 54 1B 9F A0 78 AD 1A 30 0A 9F C6 7C C2 BB F0 D5 5B 42 A0 65 2C 45 85 29 B1 29 71 1B CF 18 A6 DC DD 9C DF CB 18 CA B9 B3 8C 7D A4 0C 45 62 1D 29 CD 15 3A D8 09 02 3E E1 B8 7A CD D4 6D 0C C4 65 60 B0

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%Desktop%>

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Hooks

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\VOS

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%\
Software\VOS\MSNLite

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%Program Files%\MSNLite>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%Program Files%\MSNLite>X%Program Files%\MSNLite\MSNLite.exe>

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%_Classes

HKEY_CURRENT_USER\Software\VOS\
MSNLite\Registry\%CurrentUser%_Classes\
CLSID

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = %AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>X%AppData%\MSNLite\DBStore\UniformConfig>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>X%AppData%\MSNLite\DBStore\UniformConfig>+8224|%AppData%\MSNLite\DBStore\global.dat.new>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity = X%AppData%\MSNLite\DBStore>X%AppData%\MSNLite\DBStore\global.dat>X%Program Files%\MSNLite\ResourceDll.dll>X%AppData%\MSNLite\DBStore\UniformConfig>+8224|%AppData%\MSNLite\DBStore\global.dat.new>X%AppData%\MSNLite\DBStore\global.dat.bak>

HKEY_CURRENT_USER\Software\VOS\
MSNLite
VirtRegSync.Low = 1965800240

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\VOS\
MSNLite
DataIntegrity =

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください