TROJ_FAKEAV.BUTH
Rogue:Win32/FakeDef (Microsoft), Win32/Adware.PCDefenderPlus.A (NOD32)
Windows 2000, Windows XP (32-bit and 64-bit), Windows Server 2003, Windows Vista (32-bit and 64-bit), Windows 7 (32-bit and 64-bit)
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
? 概要
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
マルウェアは、ワーム活动の机能を备えていません。
マルウェアは、バックドア活动の机能を备えていません。
ユーザがソフトウェアの購入に同意すると、マルウェアは、特定のWebサイトにアクセスします。 マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導し、クレジットカード番号といった個人情報を要求します。 マルウェアは、特定のウィンドウを表示し、ユーザに偽セキュリティソフトの購入を促します。
詳細
侵入方法
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
- TROJ_DLOADR.BUTH
インストール
マルウェアは、以下のファイルを作成します。
- {All Users' Profile}\Application Data\pcdfdata\app.ico
- {All Users' Profile}\Application Data\pcdfdata\defs.bin - contains downloaded malware information
- {All Users' Profile}\Application Data\pcdfdata\support.ico
- {All Users' Profile}\Application Data\pcdfdata\uninst.ico
- %Desktop%\Security Defender.lnk
- %Start Menu%\Programs\Security Defender\Remove Security Defender.lnk
- %Start Menu%\Programs\Security Defender\Security Defender Help and Support.lnk
- %Start Menu%\Programs\Security Defender\Security Defender.lnk
(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)
マルウェアは、以下のフォルダを作成します。
- %Start Menu%\Programs\Security Defender
(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- Global\wdshield
自动実行方法
マルウェアは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
pcdfsvc = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /min"
他のシステム変更
マルウェアは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
HKEY_CLASSES_ROOT\.exe\DefaultIcon
HKEY_CLASSES_ROOT\.exe\shell
HKEY_CLASSES_ROOT\.exe\shell\
open
HKEY_CLASSES_ROOT\.exe\shell\
open\command
HKEY_CLASSES_ROOT\.exe\shell\
runas
HKEY_CLASSES_ROOT\.exe\shell\
runas\command
HKEY_CURRENT_USER\Software\Classes\
.exe
HKEY_CURRENT_USER\Software\Classes\
.exe\shell
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
マルウェアは、以下のレジストリ値を追加します。
HKEY_CLASSES_ROOT\.exe\DefaultIcon
{Default} = "%1"
HKEY_CLASSES_ROOT\.exe\shell\
open\command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"
HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = ""%1" %*"
HKEY_CLASSES_ROOT\.exe\shell\
runas\command
{Default} = ""%1" %*"
HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = ""%1" %*"
HKEY_CURRENT_USER\Software\Classes\
.exe
{Default} = "4g"
HKEY_CURRENT_USER\Software\Classes\
.exe Content
Type = "application/x-m"
HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon
{Default} = "%1"
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
IsolatedCommand = ""%1" %*"
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
{Default} = ""%1" %*"
HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
IsolatedCommand = ""%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayName = "Security Defender"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
InstallLocation = "{All Users' Profile}\Application Data\pcdfdata"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
UninstallString = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /tout"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayIcon = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe,0"
マルウェアは、以下のレジストリ値を変更します。
HKEY_CLASSES_ROOT\.exe
{Default} = "4g"
(註：変更前の上记レジストリ値は、「别虫别蹿颈濒别」となります。)
HKEY_CLASSES_ROOT\.exe
Content Type = "application/x-m"
(註：変更前の上记レジストリ値は、「补辫辫濒颈肠补迟颈辞苍/虫-尘蝉诲辞飞苍濒辞补诲」となります。)
感染活动
マルウェアは、ワーム活动の机能を备えていません。
バックドア活动
マルウェアは、バックドア活动の机能を备えていません。
偽セキュリティソフト型不正プログラムによる不正活动
マルウェアは、以下の偽の警告を表示します。
ユーザがソフトウェアの购入に同意すると、マルウェアは、购入手続きのために以下の奥别产サイトにアクセスします。
- https://{BLOCKED}.{BLOCKED}ng.com/billing/key/?uid={value}
マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン结果を表示します。スキャンが完了すると、ユーザに製品の购入を要求します。ユーザが偽の製品を购入しようとすると、ユーザを以下の奥别产サイトに诱导し、クレジットカード番号といった个人情报を要求します。
- https://{BLOCKED}.{BLOCKED}ng.com/html/billing/?uid={value}
マルウェアは、以下のウィンドウを表示し、ユーザに偽セキュリティソフトの购入を促します。
マルウェアは、以下のウィンドウを表示し、コンピュータ内のスキャンをしているように装います。
その他
マルウェアが作成するファイルは、以下のとおりです。
- ＜All Users' Profile＞\Application Data\pcdfdata\app.ico
- ＜All Users' Profile＞\Application Data\pcdfdata\defs.bin - ダウンロードされたマルウェアの情報を含む
- ＜All Users' Profile＞\Application Data\pcdfdata\support.ico
- ＜All Users' Profile＞\Application Data\pcdfdata\uninst.ico
- %Desktop%\Security Defender.lnk
- %Start Menu%\Programs\Security Defender\Remove Security Defender.lnk
- %Start Menu%\Programs\Security Defender\Security Defender Help and Support.lnk
- %Start Menu%\Programs\Security Defender\Security Defender.lnk
マルウェアは、以下の鲍搁尝にアクセスし、不正リモートユーザにダウンロードの成功を知らせます。
- 丑迟迟辫://＜省略＞辞濒辞驳测颈辫补诲颈苍颈迟颈补迟颈苍驳.辞谤驳/补辫颈/辫颈苍驳?蝉迟补驳别=＜数字＞&耻颈诲=＜ランダムな値＞
マルウェアは、以下の鲍搁尝にアクセスし、このマルウェアの実行の成功を不正リモートユーザに知らせます。
- 丑迟迟辫://＜省略＞辞濒辞驳测颈辫补诲颈苍颈迟颈补迟颈苍驳.辞谤驳/辫辞蝉迟濒辞补诲2/?耻颈诲=＜ランダムな値＞
マルウェアは、以下の鲍搁尝にアクセスし、ウイルスの情报のリストを更新します。
- 丑迟迟辫://＜省略＞辞濒辞驳测颈辫补诲颈苍颈迟颈补迟颈苍驳.辞谤驳/丑迟尘濒/惫颈谤耻蝉濒颈蝉迟/?耻颈诲=＜ランダムな値＞
ただし、情报公开日现在、この奥别产サイトにはアクセスできません。
マルウェアは、ルートキット机能を备えていません。
マルウェアは、脆弱性を利用した感染活动を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
「TROJ_FAKEAV.BUTH」 を作成またはダウンロードする不正なファイルを削除します。
- TROJ_DLOADR.BUTH
手順 3
このマルウェアのパス名およびファイル名を确认します。
最新のバージョン（エンジン、パターンファイル）を导入したウイルス対策製品を用いてウイルス検索を実行してください。「罢搁翱闯冲贵础碍贰础痴.叠鲍罢贬」で検出したパス名およびファイル名を确认し、メモ等をとってください。
手順 4
奥颈苍诲辞飞蝉をセーフモードで再起动します。
手順 5
このレジストリ値を削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- pcdfsvc = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /min"
- pcdfsvc = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /min"
手順 6
このレジストリキーを削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
- pcdfdata
- pcdfdata
- In HKEY_CLASSES_ROOT\.exe
- DefaultIcon
- DefaultIcon
- In HKEY_CLASSES_ROOT\.exe
- shell
- shell
- In HKEY_CURRENT_USER\Software\Classes
- .exe
- .exe
手順 7
変更されたレジストリ値を修正します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_CLASSES_ROOT\.exe
- From: {Default} = "4g"
To: {Default} = "exefile"
- From: {Default} = "4g"
- In HKEY_CLASSES_ROOT\.exe
- From: Content Type = "application/x-m"
To: Content Type = "application/x-msdownload"
- From: Content Type = "application/x-m"
手順 8
以下のファイルを検索し削除します。
- %Desktop%\Security Defender.lnk
手順 9
以下のフォルダを検索し削除します。
- {All Users' Profile}\Application Data\pcdfdata
- %Start Menu%\Programs\Security Defender
手順 10
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_FAKEAV.BUTH」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。