&苍产蝉辫;解析者: Erika Bianca Mendoza   
&苍产蝉辫;プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

&苍产蝉辫;危険度:
&苍产蝉辫;感染确认数:
&苍产蝉辫;システムへの影响:
&苍产蝉辫;情报漏えい:

  • マルウェアタイプ:
    スパイウェア

  • 破壊活动の有无:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

? 概要

スパイウェアは、悪意ある奥别产サイトからユーザが误ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、「Registry Shell Spawning」という手法で特定のレジストリキーまたはレジストリ値を変更します。これにより、他のアプリケーションが実行されると、このスパイウェアも自動実行されます。

  詳細

ファイルサイズ 81,408 bytes
タイプ PE
発见日 2011年3月7日

侵入方法

スパイウェアは、悪意ある奥别产サイトからユーザが误ってダウンロードすることにより、コンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System Root%\Documents and Settings\All Users\Application Data\classes\svcserv.exe
  • %System Root%\Documents and Settings\All Users\Application Data\system\svshost.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のファイルを作成し実行します。

  • %System Root%\Documents and Settings\All Users\Application Data\install\app.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のフォルダを作成します。

  • %System Root%\Documents and Settings\All Users\Application Data\classes
  • %System Root%\Documents and Settings\All Users\Application Data\install
  • %System Root%\Documents and Settings\All Users\Application Data\system

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自动実行方法

スパイウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

  • %Start Menu%\Programs\Startup\MS office.lnk

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

スパイウェアは、「Registry Shell Spawning」という手法で以下のレジストリキーまたはレジストリ値を変更します。これにより、特定のファイル形式のファイルが開かれると、このスパイウェアも自動実行されます。

HKEY_CURRENT_USER\Software\Classes\
exefile\shell\open\
command
Default = "%System Root%\Documents and Settings\All Users\Application Data\install\app.exe"%1" %*"

他のシステム変更

スパイウェアは、インストールの过程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
DeleteFlag = "1"

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\exefile\shell\
open\command
Default = "%System Root%\Documents and Settings\All Users\Application Data\install\app.exe"%1" %*"

(註：変更前の上記レジストリ値は、「"%1" %*」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註：変更前の上记レジストリ値は、「2」となります。)

その他

スパイウェアは、以下のプロセスの存在を确认します。

  • cfp.exe

上記のプロセスは、無料セキュリティソフトウェア「Comodo Firewall Pro」に関連しています。スパイウェアは、このプロセスが実行中であることを確認すると、自身の不正活動の実行を停止します。

  対応方法

対応検索エンジン: 8.900
VSAPI OPR パターンバージョン 8.883.00
VSAPI OPR パターンリリース日 2011年3月6日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。

手順 2

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

?
  • In HKEY_CLASSES_ROOT\exefile\shell\open\command
    • From: Default = "%System Root%\Documents and Settings\All Users\Application Data\install\app.exe"%1" %*"
      To: Default = ""%1" %*"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
    • From: Start = "4"
      To: Start = "2"

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

  • In HKEY_CURRENT_USER\Software\Classes\exefile\shell\open\command
    • Default = "%System Root%\Documents and Settings\All Users\Application Data\install\app.exe"%1" %*"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
    • DeleteFlag = "1"

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に设定されている场合があります。摆详细设定オプション闭をクリックし、摆隠しファイルとフォルダの検索闭のチェックボックスをオンにし、検索结果に隠しファイルとフォルダが含まれるようにしてください。
  • %Start Menu%\Programs\Startup\MS office.lnk

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に设定されている场合があります。摆详细设定オプション闭をクリックし、摆隠しファイルとフォルダの検索闭のチェックボックスをオンにし、検索结果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\Documents and Settings\All Users\Application Data\classes
  • %System Root%\Documents and Settings\All Users\Application Data\system
  • %System Root%\Documents and Settings\All Users\Application Data\install

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_SPYEYE.ALB」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。