TROJ_PHINDOLP.A
Windows 2000, Windows XP, Windows Server 2003
マルウェアタイプ:
トロイの木马型
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。
詳細
侵入方法
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
- TROJ_DROPHIN.A
自动実行方法
マルウェアは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
arun = "%User Temp%\explorer.exe"
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
Enabled = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
ShownVerifyBalloon = "3"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Recovery
AutoRecover = "2"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Check_Associations = "no"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
DisableFirstRunCustomize = "2"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
IEHardenIENoWarn = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonZoneCrossing = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnPostRedirect = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
IEharden = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
DEPOff = "1"
奥别产ブラウザのホームページおよび検索ページの変更
マルウェアは、滨贰のゾーン设定を変更します。
その他
マルウェアは、以下のレジストリキーを问い合わせることによって、自身が仮想环境下で実行されているかを确认します。
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\Disk\Enum
マルウェアは、上述のレジストリキーに以下の文字列が存在するかを确认します。
- VBOX
- Virtual
- VMware
マルウェアは、以下のプロセスを停止し、感染コンピュータ上で使用されるブラウザが「Firefox」または「Chrome」、「Opera」、「Internet Explorer（IE）」のみにします。
- maxthon.exe
- 360se.exe
そして、マルウェアは、感染コンピュータ上で実行されているブラウザを报告するために、后述されているものと同じコマンド＆コントロール（颁&颁）サーバへ以下のパラメータを送信します。
- ReuseFF
- IEalone
- ReuseOP
マルウェアは、以下のレジストリキー下の特定のレジストリ値を问い合わせることで、感染コンピュータのホスト名やドメインを検索します。
- レジストリキー
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters
- レジストリ値
?HostName
?Domain
マルウェアは、以下のレジストリキー下の特定のレジストリ値を问い合わせることで、滨笔アドレスや既定のゲートウェイ、顿贬颁笔での滨笔アドレスを検索します。
- レジストリキー
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters\Interfaces
- レジストリ値
?IPAddress
?DefaultGateway
?DHCPIPAddress
マルウェアは、以下のレジストリキーを问い合わせることによって、インストールされている贰メールのクライアンを确认します。
HKEY_LOCAL_MACHINE\software\clients\mail
マルウェアは、以下のレジストリキーを问い合わせることによって、インストールされている奥别产ブラウザを确认します。
HKEY_LOCAL_MACHINE\Software\Classes\http\shell
そしてマルウェアは、上述のレジストリキーに以下の文字列が存在するかを検索します。
- FIREFOX.EXE
- Chrome
- Maxthon3
- Opera
- 360
マルウェアは、以下のレジストリキーを问い合わせ、感染コンピュータで设定されているブラウザを确认します。
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet
マルウェアは、以下のレジストリキーを问い合わせることによって、プロキシサーバおよびブラウザのプロキシ设定を自动的に设定するための「础耻迟辞颁辞苍蹿颈驳鲍搁尝」の値を取得します。また、プロキシサーバが感染コンピュータで利用可能であるか确认します。
- レジストリキー
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- レジストリ値
?ProxyEnable
?ProxyServer
?AutoConfigURL
マルウェアは、以下のレジストリキーを问い合わせることによって、滨贰のバージョンを确认します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Version Vector
そしてマルウェアは、収集したすべての情报を暗号化し、贬罢罢笔ポストを介して以下の颁&颁サーバへ送信します。
- 丑迟迟辫://蝉办测＜省略＞1.苍补尘别/＜础厂笔齿ファイルを含むディレクトリ＞?谤=＜暗号化された情报＞&补=
註：＜础厂笔齿ファイルを含むディレクトリ＞は、以下のいずれかが该当します。
- shfam9y/Default.aspx
- shfam9y/Direct9.aspx
- shfam9y/login0.aspx
- shfam9y/www2.aspx
この颁&颁サーバは、バイナリを用いて応答します。そしてマルウェアは、ダウンロードされたバイナリを実行します。ただし、情报公开日现在、この颁&颁サーバは応答しません。
マルウェアは、ファイル "%System%\cmd.exe" を "%User Temp%\~vmdmc.exe" としてコピーします。マルウェアは、ユーザに気づかれないようにダウンロードしたバイナリを実行するためにファイル "%User Temp%\~vmdmc.exe" を利用します。
また、マルウェアは、以下のレジストリ値を问い合わせることによって、コマンドプロンプトが利用可能であるかを确认します。
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System
DisableCMD
もし、利用不可能であった场合、マルウェアは、そのレジストリ値を修正し、バイナリをダウンロードし、実行するという不正活动を行います。
マルウェアは、感染コンピュータにおけるプロキシの设定に适合するために、ブラウザの设定を変更する机能を备えています。
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
「罢搁翱闯冲笔贬滨狈顿翱尝笔.础」を作成またはダウンロードする不正なファイルを削除します。
- TROJ_DROPHIN.A
手順 3
「罢搁翱闯冲笔贬滨狈顿翱尝笔.础」で検出したファイル名を确认し、そのファイルを终了します。
- 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、をご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない场合、次の手顺にお进みください。
手順 4
このレジストリ値を削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\PhishingFilter
- Enabled = "1"
- Enabled = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\PhishingFilter
- ShownVerifyBalloon = "3"
- ShownVerifyBalloon = "3"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Recovery
- AutoRecover = "2"
- AutoRecover = "2"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Check_Associations = "no"
- Check_Associations = "no"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- DisableFirstRunCustomize = "2"
- DisableFirstRunCustomize = "2"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- IEHardenIENoWarn = "0"
- IEHardenIENoWarn = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- WarnonZoneCrossing = "0"
- WarnonZoneCrossing = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- WarnOnPostRedirect = "0"
- WarnOnPostRedirect = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap
- IEharden = "0"
- IEharden = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- arun = "%User Temp%\explorer.exe"
- arun = "%User Temp%\explorer.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
- DEPOff = "1"
- DEPOff = "1"
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_PHINDOLP.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。