• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.XF.ICEDID.U

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• rundll32 ..\iroto.tio,DllRegisterServer
• rundll32 ..\iroto.tio1,DllRegisterServer

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}s.com/ONiFJdjU4uv9/key.html
• https://{BLOCKED}irsa.com/ZepSxiqM/key.html

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• {Parent folder of default excel save path}\iroto.tio
• {Parent folder of default excel save path}\iroto.tio1

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• Hides the following sheets in order to hide its malicious code after executing:
  • Doc2
  • Doc3
  • Doc4

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• {Excelの既定の保存先の親フォルダ}\iroto.tio
• {Excelの既定の保存先の親フォルダ}\iroto.tio1

その他

マルウェアは、以下を実行します。

• 実行後、自身の不正なコードを隠匿するために以下のシートを隠します。
  • Doc2
  • Doc3
  • Doc4

  ---

    対応方法

  対応検索エンジン: 9.800

  初回 VSAPI パターンバージョン 16.752.03

  初回 VSAPI パターンリリース日 2021年5月31日

  VSAPI OPR パターンバージョン 16.753.00

  VSAPI OPR パターンリリース日 2021年6月1日

  手順 1

  Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

  手順 2

  このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

  手順 3

  以下のファイルを検索し削除します。

  [ 詳細 ]

  [ 戻る ]

  コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  

  • {Parent folder of default excel save path}\iroto.tio
  • {Parent folder of default excel save path}\iroto.tio1

  マルウェアのコンポーネントファイルの削除：

• Windows 2000、XP および Server 2003 の場合：
  1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
  2. [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
      
     • {Parent folder of default excel save path}\iroto.tio
     • {Parent folder of default excel save path}\iroto.tio1
  3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
  4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  5. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

• Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：
  1. Windowsエクスプローラ画面を開きます。
     • Windows Vista、7 および Server 2008 の場合：
       • [スタート]-[コンピューター]を選択します。
     • Windows 8、8.1 および Server 2012 の場合：
       • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
  2. [コンピューターの検索]に、以下を入力します。
      
     • {Parent folder of default excel save path}\iroto.tio
     • {Parent folder of default excel save path}\iroto.tio1
  3. ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  4. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
     註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。