Win32/Agent.YIJ
公開日：2017年08月25日
危険度：2
| 定義名称 | Win32/Agent.YIJ |
|---|---|
| シグネチャ検査による結果だった場合 | Win32/Agent.YIJ |
| 種別 | トロイの木馬 |
| アドバンスドヒューリスティック検査による結果だった場合 | このオリジナルのトロイを利用した新種、亜種が検出された場合は、「NewHeur_PE」もしくは「Win32/Agent.YIJの亜種 トロイの木馬」という名称で警告が出ます。 |
| 対応時期 | バージョン14187（20160927）以降 |
| 影響を受けるプラットフォーム | Microsoft Windows |
| 概要 | このトロイの木馬は、パスワードなどの個人情報を盗み出してリモートのコンピューターに送信しようとします。リモートからコントロールが可能です。詳しい活動内容については、下記をご参照ください。 |
検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windows のシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記(用語)について
以下の説明文では、環境変数を利用して各ファイルやディレクトリへのパスを表記しています。
例:
%windir% : Windowsオペレーティングシステムがインストールされたディレクトリのパス(インストール時の設定により異なる場合があります)。
%system% : %windir% のサブディレクトリである"System"や"System32"のパス。
%malwarefilepath% : マルウェアプログラムまでのパス。
%malwarefilename% : マルウェアプログラムまでのファイル名。
その他に関しては、以下のページも参考にしてください。
Microsoft Malware Protection Center - Malware help
Common Folder variables
解説
侵入(インストレーション)について
このトロイの木馬は、実行時に自身を次の場所にコピーします。
%folder%\%filename%%randomstring%%fileextension%
%folder%は次の文字列のいずれかになります。
%programfiles%
%commonprogramfiles%
%allusersprofile%
%userprofile%
%appdata%
%temp%
%filename%は次の文字列のいずれかになります。
ms
win
gdi
mfc
vga
igfx
user
help
config
update
regsvc
chkdsk
systray
audiodg
certmgr
autochk
taskhost
colorcpl
services
IconCache
ThumbCache
Cookies
%randomstring%はランダムなテキストです。
%fileextension%は次の文字列のいずれかになります。
.exe
.com
.scr
.pif
.cmd
.bat
次のレジストリーエントリーを設定する場合があります。
[HKEY_LOCAL_MACHINE|\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"%variable%" = "%malwarefilepath%"
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"%variable%" = "%malwarefilepath%"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"%variable%" = "%malwarefilepath%"
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
"%variable%" = "%malwarefilepath%"
%variable%には可変の文字列が入ります。
これにより、システムが起動するたびに実行されるようになります。
次のプロセスに自身のプログラムコードを挿入して新たなスレッドを作成、実行します。
explorer.exe
%system%\%application%
%application%は次の文字列のいずれかになります。
svchost.exe
msiexec.exe
wuauclt.exe
lsass.exe
wlanext.exe
msg.exe
lsm.exe
dwm.exe
help.exe
chkdsk.exe
cmmon32.exe
nbtstat.exe
spoolsv.exe
rdpclip.exe
control.exe
taskhost.exe
rundll32.exe
systray.exe
audiodg.exe
wininit.exe
services.exe
autochk.exe
autoconv.exe
autofmt.exe
cmstp.exe
colorcpl.exe
cscript.exe
explorer.exe
WWAHost.exe
ipconfig.exe
msdt.exe
mstsc.exe
NAPSTAT.EXE
netsh.exe
NETSTAT.EXE
raserver.exe
wscript.exe
wuapp.exe
cmd.exe
次のプロセスに自身のコードを挿入します。
explorer.exe
iexplore.exe
firefox.exe
chrome.exe
microsoftedgecp.exe
opera.exe
safari.exe
torch.exe
maxthon.exe
seamonkey.exe
avant.exe
deepnet.exe
dragon.exe
icedragon.exe
spark.exe
browser.exe
outlook.exe
poco.exe
netscp.exe
foxmail.exe
incmail.exe
thunderbird.exe
barca.exe
yahoomessenger.exe
icq.exe
pidgin.exe
trillian.exe
ybrowser.exe
skype.exe
情報の取得
このトロイの木馬は個人情報を盗み出します。
次の情報を収集します。
特定のアプリケーション/サービスのログインユーザー名
特定のアプリケーション/サービスのログインパスワード
ユーザー名
OSのバージョン
特定アプリケーションの使用時にさまざまな情報を収集します。
次のプログラムが影響を受けます。
Internet Explorer
Microsoft Edge
Microsoft Outlook
Mozilla Firefox
Mozilla Thunderbird
Google Chrome
Opera
Safari Browser
Torch Browser
Maxthon
Seamonkey
Avant Browser
Deepnet Explorer
Comodo Dragon
Comodo IceDragon
Baidu Spark Browser
Yandex Browser
PocoMail
Barca
Netscape Navigator
Foxmail
Incredimail
Yahoo Messenger
ICQ
Pidgin
Trillian
Yahoo! Browser
次を実行します。
キー入力内容を記録する
ネットワークトラフィックを監視する
収集した情報は次のファイルに保存されます。
%appdata%\%variable1%\%variable2%.ini
%variable1-2%には可変の文字列が入ります。
収集した情報をリモートのコンピューターに送信しようとします。
その他の情報
このトロイの木馬は、リモートのコンピューターもしくはインターネットからデータや命令を受け取ります。
1つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
リモートのコンピューター/サーバーとのネットワーク通信は暗号化されます。
次の操作を実行する場合があります。
リモートのコンピューターもしくはインターネットからファイルをダウンロードする
実行ファイルを実行する
実行中のプロセスを停止する
自身をバージョンアップする
cookieを削除する
コンピューターをシャットダウン/再起動する
収集した情報を送信する
自身をアンインストールする
次のWindows APIをフックして、入力データやメッセージを横取りします。
EncryptMessage (sspicli.dll, secur32.dll)
HttpSendRequestA (wininet.dll)
HttpSendRequestW (wininet.dll)
WSASend (ws2_32.dll)
PR_Write (nss3.dll, nspr4.dll)
ssl3_write_app_data (chrome.dll, dragon_s.dll, browser.dll)
GetMessageA (user32.dll)
GetMessageW (user32.dll)
SendMessageA (user32.dll)
SendMessageW (user32.dll)
PeekMessageA (user32.dll)
PeekMessageW (user32.dll)
デバッガやその他の解析ツールの存在を検出する能力を備えています。
実行先が特定の仮想環境内であることを検出すると、自身の実行を終了します。
実行中のプロセスの名前に次の文字列のいずれかが含まれている場合は、直ちに自身を終了します。
vmwareuser.exe
vmwareservice.exe
vboxservice.exe
vboxtray.exe
sandboxiedcomlaunch.exe
sandboxierpcss.exe
procmon.exe
filemon.exe
wireshark.exe
netmon.exe
prl_tools_service.exe
prl_tools.exe
prl_cc.exe
sharedintapp.exe
vmtoolsd.exe
vmsrvc.exe
vmusrvc.exe
python.exe
perl.exe
regmon.exe
名前に次の文字列のいずれかが含まれているプロセス内のモジュールが読み込まれたことを検出すると、直ちに自身を終了します。
sbiedll.dll
\CUCKOO\
\SANDCASTLE\
\ASWSNX\
\SANDBOX\
\smpdir\
\samroot\
\AVCTestSuite\
ユーザー名が次のいずれかの場合は、直ちに自身を終了します。
sandbox-
nmsdbox-
xxxx-ox-
cwsx-
wilbert-sc
xpamast-sc
32ビットおよび64ビット両方のプログラムのコンポーネントを保持しています。