BKDR_RAMNIT.JT

2018年8月1日

&苍产蝉辫;解析者: Johnlery Triunfante

&苍产蝉辫;别名:

Trojan:Win32/Dynamer!rfn (Microsoft); Mal/Elenoocka-E (Sophos)

&苍产蝉辫;プラットフォーム:

Windows

&苍产蝉辫;危険度:

&苍产蝉辫;ダメージ度:

&苍产蝉辫;感染力:

&苍产蝉辫;感染确认数:

&苍产蝉辫;情报漏えい:

マルウェアタイプ:
バックドア型
破壊活动の有无:
なし
暗号化:
はい
感染報告の有無 :
はい

? 概要

感染経路他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、セキュリティ製品に関连するレジストリキーを削除します。これにより、マルウェアは、感染コンピュータにインストールされているセキュリティ製品に検出されることなく、自身の不正活动を実行することが可能になります。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

詳細

ファイルサイズ 168,960 bytes

タイプ EXE

メモリ常驻はい

発见日 2018年3月5日

ペイロードファイルの作成, ファイルの実行

侵入方法

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

%User Temp%\{8 Random Character}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のファイルを作成します。

%AppDataLocal%\{8 Random Character}.log
%AppDataLocal%\{Random Folder Name}\{Random Characters}.tm
%ProgramData%\{8 Random Character}.log

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

マルウェアは、以下のファイルを作成し実行します。

%AppDataLocalLow%\cmd.{User name}.bat → Deleted afterwards
%AppDataLocalLow%\com.{User name}.sdb → Deleted afterwards

(註：%AppDataLocalLow%フォルダは、LocalLow アプリケーションデータフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\LocalLow" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Startup%\{8 Random Character}.exe
%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

{GUID}

自动実行方法

マルウェアは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{8 Random Character} = %AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = {Default value for Userinit},%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
svchost.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
consent.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
rundll32.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
spoolsv.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
explorer.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
rgjdu.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
afwqs.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Extensions
*.tmp = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Extensions
*.dll = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Extensions
*.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
svchost.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
consent.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
rundll32.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
spoolsv.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
explorer.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
rgjdu.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Processes
afwqs.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Extensions
*.tmp = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Extensions
*.dll = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Extensions
*.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
jfghdug_ooetvtgk = TRUE

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\wscsvc
Start = 4

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\MpsSvc
Start = 4

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\wscsvc
Start = 4

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend
Start = 4

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\wuauserv
Start = 4

マルウェアは、セキュリティ製品に関连するレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Defender = {Windows Defender path}

バックドア活动

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

kos → Remove HKEY_LOCAL_MACHINE\SOFTWARE, HKEY_LOCAL_MACHINE\SYSTEM, HKEY_LOCAL_MACHINE\HARDWARE, and HKEY_CURRENT_USER\SOFTWARE, and then force the system to shutdown
screen → Take and upload a screenshot
update → Update itself
getexec → Download and execute a file
cookies → Send a created log file that contains cookies and upload to a remote location
removecookies - Deletes cookies

マルウェアは、以下の奥别产サイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

It uses domain generation algorithm (DGA) for its C&C servers. Where the domain could be one of the following:
- {BLOCKED}hsussiiwuwyw.com
- {BLOCKED}ueaneumqx.com
- {BLOCKED}qoyjjpb.com
- {BLOCKED}jpvdbxsjos.com
- {BLOCKED}rgujyymhvvg.com

その他

マルウェアは、以下の奥别产サイトにアクセスしてインターネット接続を确认します。

google.com:80
bing.com:80
yahoo.com:80

対応方法

対応検索エンジン: 9.850

初回 VSAPI パターンバージョン 14.116.04

初回 VSAPI パターンリリース日 2018年3月8日

VSAPI OPR パターンバージョン 14.117.00

VSAPI OPR パターンリリース日 2018年3月9日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。

手順 3

奥颈苍诲辞飞蝉をセーフモードで再起动します。

[ 詳細 ]

セーフモードでの起动：

• Windows 2000 の場合：

コンピュータを起动させます。
「Windows **** を起動しています???」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起动させます。
「Windows **** を起動しています???」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起动させます。
「Windows **** を起動しています???」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起动させます。
「Windows **** を起動しています???」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移动し、摆チャーム闭バーを表示します。
マウスで、摆设定闭－摆笔颁设定の変更闭を选択します。
左侧のパネルで、摆全般闭を选択します。
右侧のパネルで、摆笔颁の起动をカスタマイズする闭が表示されるまで下にスクロールし、摆今すぐ再起动闭をクリック。コンピュータが再起动するまで待ちます。
摆オプションの选択闭メニューで、摆トラブルシューティング闭－摆详细オプション闭－摆スタートアップ设定闭－摆再起动闭をクリックします。
摆スタートアップ设定闭メニューで、摆4闭キーを押し、「4）セーフモードを有効にする」を选択します。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {8 Random Character} = %AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- svchost.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- consent.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- rundll32.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- spoolsv.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- explorer.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- rgjdu.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes
- afwqs.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Extensions
- *.tmp = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Extensions
- *.dll = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Extensions
- *.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- svchost.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- consent.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- rundll32.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- spoolsv.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- explorer.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- rgjdu.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Processes
- afwqs.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Extensions
- *.tmp = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Extensions
- *.dll = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Antimalware\Exclusions\Extensions
- *.exe = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
- jfghdug_ooetvtgk = TRUE
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- EnableLUA = 0
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- AntiVirusOverride = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- AntiVirusDisableNotify = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- FirewallDisableNotify = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- FirewallOverride = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- UpdatesDisableNotify = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
- UacDisableNotify = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
- AntiVirusOverride = 1
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- EnableFirewall = 0
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- DoNotAllowExceptions = 0
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- DisableNotifications = 1

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起动します。
- Windows 2000、XP および Server 2003 の場合：
  摆スタート闭-摆ファイル名を指定して実行闭を选択し、regedit と入力し、Enter を押します。
- Windows Vista、7、Server 2008 の場合：
  摆スタート闭をクリックし、検索入力栏に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、摆ファイル名を指定して実行闭を选択します。入力ボックスに regedit と入力し、Enter を押します。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区别されません）。
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
右侧のパネルで以下のレジストリ値を検索し、削除します。
{8 Random Character} = %AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows Defender>Exclusions>Processes
右侧のパネルで以下のレジストリ値を検索し、削除します。
svchost.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
consent.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
rundll32.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
spoolsv.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
explorer.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
rgjdu.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
afwqs.exe = 0
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows Defender>Exclusions>Extensions
右侧のパネルで以下のレジストリ値を検索し、削除します。
*.tmp = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
*.dll = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
*.exe = 0
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Microsoft Antimalware>Exclusions>Processes
右侧のパネルで以下のレジストリ値を検索し、削除します。
svchost.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
consent.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
rundll32.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
spoolsv.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
explorer.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
rgjdu.exe = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
afwqs.exe = 0
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Microsoft Antimalware>Exclusions>Extensions
右侧のパネルで以下のレジストリ値を検索し、削除します。
*.tmp = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
*.dll = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
*.exe = 0
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion
右侧のパネルで以下のレジストリ値を検索し、削除します。
jfghdug_ooetvtgk = TRUE
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Policies>System
右侧のパネルで以下のレジストリ値を検索し、削除します。
EnableLUA = 0
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center
右侧のパネルで以下のレジストリ値を検索し、削除します。
AntiVirusOverride = 1
右侧のパネルで以下のレジストリ値を検索し、削除します。
AntiVirusDisableNotify = 1
右侧のパネルで以下のレジストリ値を検索し、削除します。
FirewallDisableNotify = 1
右侧のパネルで以下のレジストリ値を検索し、削除します。
FirewallOverride = 1
右侧のパネルで以下のレジストリ値を検索し、削除します。
UpdatesDisableNotify = 1
右侧のパネルで以下のレジストリ値を検索し、削除します。
UacDisableNotify = 1
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Security Center>Svc
右侧のパネルで以下のレジストリ値を検索し、削除します。
AntiVirusOverride = 1
「レジストリエディタ」の左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
右侧のパネルで以下のレジストリ値を検索し、削除します。
EnableFirewall = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
DoNotAllowExceptions = 0
右侧のパネルで以下のレジストリ値を検索し、削除します。
DisableNotifications = 1
「レジストリエディタ」を闭じます。

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
事前に意図的に対象の设定を変更していた场合は、意図するオリジナルの设定に戻してください。変更する値が分からない场合は、システム管理者にお寻ねいただき、レジストリの编集はお客様の责任として行なって顶くようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Userinit = {Default value for Userinit},%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe
  To: Userinit = {Default value for Userinit}
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\services\wscsvc
- From: Start = 4
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\MpsSvc
- From: Start = 4
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wscsvc
- From: Start = 4
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend
- From: Start = 4
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\wuauserv
- From: Start = 4
  To: Start = 2

このマルウェアが変更したレジストリ値の修正：

「レジストリエディタ」を起动します。
- Windows 2000、XP および Server 2003 の場合：
  摆スタート闭-摆ファイル名を指定して実行闭を选択し、regedit と入力し、Enter を押します。
- Windows Vista、7、Server 2008 の場合：
  摆スタート闭をクリックし、検索入力栏に regedit と入力し、Enter を押します。
- Windows 8、8.1 および Server 2012 の場合：
  画面の左下隅を右クリックし、摆ファイル名を指定して実行闭を选択します。入力ボックスに regedit と入力し、Enter を押します。
  ※regedit は半角英数字で入力する必要があります（大文字／小文字は区别されません）。
レジストリエディタの左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
右侧のパネルで以下のレジストリ値を検索します。
Userinit = {Default value for Userinit},%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe
摆値の名前闭上で右クリックし、摆修正闭または摆変更闭を选択します。摆文字列の编集闭ダイアログボックスが表示されたら、摆値のデータ闭を以下に変更します。
Userinit = {Default value for Userinit}
レジストリエディタの左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet>services>wscsvc
右侧のパネルで以下のレジストリ値を検索します。
Start = 4
摆値の名前闭上で右クリックし、摆修正闭または摆変更闭を选択します。摆文字列の编集闭ダイアログボックスが表示されたら、摆値のデータ闭を以下に変更します。
Start = 2
レジストリエディタの左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>services>MpsSvc
右侧のパネルで以下のレジストリ値を検索します。
Start = 4
摆値の名前闭上で右クリックし、摆修正闭または摆変更闭を选択します。摆文字列の编集闭ダイアログボックスが表示されたら、摆値のデータ闭を以下に変更します。
Start = 2
レジストリエディタの左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>services>wscsvc
右侧のパネルで以下のレジストリ値を検索します。
Start = 4
摆値の名前闭上で右クリックし、摆修正闭または摆変更闭を选択します。摆文字列の编集闭ダイアログボックスが表示されたら、摆値のデータ闭を以下に変更します。
Start = 2
レジストリエディタの左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>services>WinDefend
右侧のパネルで以下のレジストリ値を検索します。
Start = 4
摆値の名前闭上で右クリックし、摆修正闭または摆変更闭を选択します。摆文字列の编集闭ダイアログボックスが表示されたら、摆値のデータ闭を以下に変更します。
Start = 2
レジストリエディタの左侧のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>services>wuauserv
右侧のパネルで以下のレジストリ値を検索します。
Start = 4
摆値の名前闭上で右クリックし、摆修正闭または摆変更闭を选択します。摆文字列の编集闭ダイアログボックスが表示されたら、摆値のデータ闭を以下に変更します。
Start = 2
レジストリエディタを闭じます。

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 ?

%User Temp%\{8 Random Character}.exe
%AppDataLocal%\{8 Random Character}.log
%AppDataLocal%\{Random Folder Name}\{Random Characters}.tm
%ProgramData%\{8 Random Character}.log
%User Startup%\{8 Random Character}.exe
%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe

マルウェアのコンポーネントファイルの削除：

Windows 2000、XP および Server 2003 の場合：

摆スタート闭-摆検索闭-摆ファイルとフォルダすべて闭を选択します。
摆ファイル名のすべてまたは一部闭に以下のファイル名を入力してください。
?
%User Temp%\{8 Random Character}.exe
%AppDataLocal%\{8 Random Character}.log
%AppDataLocal%\{Random Folder Name}\{Random Characters}.tm
%ProgramData%\{8 Random Character}.log
%User Startup%\{8 Random Character}.exe
%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe
摆探す场所闭の一覧から摆マイコンピュータ闭を选択し、摆検索闭を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

奥颈苍诲辞飞蝉エクスプローラ画面を开きます。
- Windows Vista、7 および Server 2008 の場合：
  - 摆スタート闭-摆コンピューター闭を选択します。
- Windows 8、8.1 および Server 2012 の場合：
  - 画面の左下隅を右クリックし、摆エクスプローラー闭を选択します。
摆コンピューターの検索闭に、以下を入力します。
?
%User Temp%\{8 Random Character}.exe
%AppDataLocal%\{8 Random Character}.log
%AppDataLocal%\{Random Folder Name}\{Random Characters}.tm
%ProgramData%\{8 Random Character}.log
%User Startup%\{8 Random Character}.exe
%AppDataLocal%\{Random Folder Name}\{8 Random Character}.exe
ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
註：Windows 7 において上記の手順が正しく行われない場合、をご确认ください。

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_RAMNIT.JT」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

以下の修正パッチをダウンロードし适用します。この脆弱性に対する修正パッチを适用するまで、该当製品の使用をお控えください。この製品の製造元が公开する正式な修正パッチをダウンロードし适用することをお勧めします。

live casino online

BKDR_RAMNIT.JT

? 概要

詳細

対応方法

関连脆弱性

リソース

サポート

会社概要

东京本社

live casino online

BKDR_RAMNIT.JT

? 概要

詳細

対応方法

関连脆弱性

リソース

サポート

会社概要

东京本社

The Americas

Asia Pacific

Europe, Middle East & Africa