Win64/Vools.B
公開日：2018年03月01日
危険度：1
| 定義名称 | Win64/Vools.B |
|---|---|
| シグネチャ検査による結果だった場合 | Win64/Vools.B |
| 別名 | Trojan.Win32.Agent.qwfofe（Kaspersky） |
| 種別 | トロイの木馬 |
| アドバンスドヒューリスティック検査による結果だった場合 | このオリジナルのトロイを利用した新種、亜種が検出された場合は、「NewHeur_PE」もしくは「Win64/Vools.Bの亜種 トロイの木馬」という名称で警告が出ます。 |
| 対応時期 | バージョン16744（20180116）以降 |
| 影響を受けるプラットフォーム | Microsoft Windows |
| 概要 | このトロイの木馬は、個人情報を盗み出してリモートのコンピューターに送信しようとします。OSの脆弱性を利用してネットワーク経由で感染を広げる機能を備えています。詳しい活動内容については、下記をご参照ください。 |
検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windows のシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記(用語)について
以下の説明文では、環境変数を利用して各ファイルやディレクトリへのパスを表記しています。
例:
%windir% : Windowsオペレーティングシステムがインストールされたディレクトリのパス(インストール時の設定により異なる場合があります)。
%system% : %windir% のサブディレクトリである"System"や"System32"のパス。
%malwarefilepath% : マルウェアプログラムまでのパス。
%malwarefilename% : マルウェアプログラムまでのファイル名。
その他に関しては、以下のページも参考にしてください。
Microsoft Malware Protection Center - Malware help
Common Folder variables
解説
侵入(インストレーション)について
このトロイの木馬は、自身のコピーを作成しません。
通常は、Win32/Agent.ZKYまたはWin64/Agent.JMという名前の別のマルウェアの一部です。
このトロイの木馬が動作するには、次のファイルが起動している必要があります。
%windir%\System32\NrsDataCache.tlb
このアーカイブファイルにはマルウェアが仕掛けられたファイルが含まれます。
このアーカイブファイルのコンテンツを次のフォルダーに抽出します。
%windir%\SysprepThemes\
%windir%\SysprepThemes\Microsoft\
このアーカイブファイルには次のファイルが含まれます。
crypt (3596689 B, ZIP)
gpu (5427200 B, Win64/CoinMiner.CY)
hash (640512 B, Win32/CoinMiner.DN)
hash64 (573440 B, Win64/CoinMiner.CS)
spoolsv (322560 B, Win32/Vools.A)
spoolsv64 (415744 B, Win64/Vools.B)
srv (501760 B, Win32/Vools.B)
srv64 (630784 B, Win64/Vools.G)
crypt\adfw-2.dll (14848 B, Win32/HackTool.Equation.X)
crypt\adfw.dll (11264 B, Win32/HackTool.Equation.V)
crypt\cnli-0.dll (106496 B, Win32/Exploit.Equation.G)
crypt\cnli-1.dll (100864 B, Win32/Exploit.Equation.G)
crypt\coli-0.dll (15360 B, Win32/HackTool.Equation.U)
crypt\crli-0.dll (17408 B, Win32/HackTool.Equation.U)
crypt\dmgd-1.dll (35328 B, Win32/HackTool.Equation.W)
crypt\dmgd-4.dll (479744 B, Win32/HackTool.Equation.W)
crypt\esco-0.dll (13824 B, Win32/HackTool.Equation.Y)
crypt\etch-0.dll (158720 B, Win32/Exploit.Equation.Etch.A)
crypt\etchCore-0.x64.dll (179200 B, Win64/Exploit.Equation.EtchCore.A)
crypt\etchCore-0.x86.dll (142848 B, Win32/Exploit.Equation.EtchCore.A)
crypt\eteb-2.dll (128512 B, Win32/Exploit.Equation.Eteb.A)
crypt\etebCore-2.x64.dll (141824 B, Win64/Exploit.Equation.EtebCore.A)
crypt\etebCore-2.x86.dll (112640 B, Win32/Exploit.Equation.EtebCore.A)
crypt\Eternalblue-2.2.0.fb (503 B)
crypt\Eternalchampion-2.0.0.fb (1118 B)
crypt\exma-1.dll (10240 B, Win32/HackTool.Equation.U)
crypt\exma.dll (6144 B, Win32/HackTool.Equation.Z)
crypt\iconv.dll (22016 B, Win32/HackTool.Equation.AA)
crypt\libcurl.dll (212480 B, Win32/Exploit.Equation.G)
crypt\libeay32.dll (903168 B, Win32/HackTool.Equation.AB)
crypt\libiconv-2.dll (970393 B)
crypt\libxml2.dll (826368 B, Win32/HackTool.Equation.AI)
crypt\out.dll (132096 B, Win64/Vools.C)
crypt\pcla-0.dll (337408 B, Win32/HackTool.Equation.C)
crypt\pcre-0.dll (146432 B, Win32/HackTool.Equation.AJ)
crypt\pcrecpp-0.dll (32768 B, Win32/HackTool.Equation.AK)
crypt\pcreposix-0.dll (9728 B, Win32/HackTool.Equation.AL)
crypt\posh-0.dll (11264 B, Win32/HackTool.Equation.AN)
crypt\posh.dll (6656 B, Win32/HackTool.Equation.AM)
crypt\pytrch.py (38209 B)
crypt\pytrch.pyc (49695 B)
crypt\riar-2.dll (32768 B, Win32/HackTool.Equation.AG)
crypt\riar.dll (16384 B, Win32/HackTool.Equation.AH)
crypt\spoolsv.exe (45568 B, Win32/Equation.DoublePulsar.A)
crypt\spoolsv.xml (4449 B)
crypt\ssleay32.dll (184320 B, Win32/HackTool.Equation.AO)
crypt\svchost.exe (129024 B, Win32/Exploit.Equation.EternalBlue.A)
crypt\svchost.xml (2840 B)
crypt\tibe-1.dll (233472 B, Win32/Exploit.Equation.F)
crypt\tibe-2.dll (237568 B, Win32/Exploit.Equation.F)
crypt\tibe.dll (270336 B, Win32/Exploit.Equation.B)
crypt\trch-0.dll (73728 B, Win32/HackTool.Equation.AE)
crypt\trch-1.dll (59904 B, Win32/HackTool.Equation.U)
crypt\trch.dll (49664 B, Win32/HackTool.Equation.AF)
crypt\trfo-0.dll (45056 B, Win32/HackTool.Equation.AC)
crypt\trfo-2.dll (29696 B, Win32/HackTool.Equation.U)
crypt\trfo.dll (38400 B, Win32/HackTool.Equation.AD)
crypt\tucl-1.dll (9216 B, Win32/HackTool.Equation.U)
crypt\tucl.dll (6144 B, Win32/HackTool.Equation.AP)
crypt\ucl.dll (58368 B, Win32/HackTool.Equation.AQ)
crypt\x64.dll (175104 B, Win64/Agent.JM)
crypt\x86.dll (148992 B, Win32/Agent.ZKY)
crypt\xdvl-0.dll (32256 B, Win32/HackTool.Equation.U)
crypt\zibe.dll (262144 B, Win32/Exploit.Equation.G)
crypt\zlib1.dll (60416 B)
crypt\_pytrch.pyd (153600 B)
感染について
このトロイの木馬は、OSの脆弱性を利用してネットワーク経由で感染を広げる機能を備えています。
さまざまなIPアドレスを生成します。
リモートマシンの445番ポートに接続して、Microsoft Server Message Block（SMB）の脆弱性を悪用しようとします。
この脆弱性の詳細については、マイクロソフト セキュリティ情報 MS17-010（マイクロソフト社）をご覧ください。
成功すると、このトロイの木馬のコピーが攻撃マシンから取得されます。
情報の取得
このトロイの木馬は、個人情報を盗み出します。
次の情報を収集します。
OSのバージョン
CPUの情報
使用中のメモリ量
インストール済みのMicrosoft Windowsのパッチ
ネットワークアダプター情報
実行中のプロセスの一覧
アクティブなTCPおよびUDP接続の一覧
特定のドライブ内のファイル/フォルダーの一覧
MACアドレス
コンピューターのIPアドレス
収集した情報をリモートのコンピューターに送信しようとします。
2つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
その他の情報
このトロイの木馬は、次のコマンドを実行します。
%windir%\system32\cmd.exe /c systeminfo & tasklist & netstat -nao & dir "C:\Program Files" & dir "C:\Program Files (x86)"
%windir%\system32\cmd.exe /c %windir%\SysprepThemes\Microsoft\svchost.exe > stage1.txt
%windir%\system32\cmd.exe /c %windir%\SysprepThemes\Microsoft\spoolsv.exe > stage2.txt
次のプロセスを停止させる場合があります。
taskmgr.exe