ウイルス情報

ウイルス名 危険度

VBObfus.el

企業ユーザ: 低
個人ユーザ: 低
種別 トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
6246
対応定義ファイル
(現在必要とされるバージョン)
6793 (現在7659)
対応エンジン 5.1.00以降 (現在5600) 
エンジンバージョンの見分け方
別名 Avp - Worm.Win32.VBNA.fbu Ikarus - Worm.Win32.Vobfus Msmp - Worm:Win32/Vobfus.B Nav - W32.Changeup!gen
情報掲載日 2012/08/07
発見日(米国日付) 2012/08/03
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

概要

・VBObfus.elは、実行されると、さらに悪質なコンポーネントをWebからダウンロードしてターゲットマシンにインストールするダウンローダ型トロイの木馬です。

・ファイル名、アクセスされるURL、ダウンロードされるファイルなどの特徴は攻撃者の設定によって異なります。よって、ここでは一般的な特徴を説明します。

TOPへ戻る

ウイルスの特徴

・「VBObfus.el」は、感染したUSBドライブまたは他のマルウェアによるダウンロードによってシステムに侵入する可能性がある自動実行型ワームです。

・システムが感染すると、挿入されたすべてのリムーバブルドライブが感染します。ドライブのルートに自身のコピーおよびAutorun.infを作成し、別のシステムに挿入されたときにファイルが自動的に実行されるようにします。

・実行時、以下の場所にファイルを作成します。

  • %UserProfile%\gaaujac.exe
  • %UserProfile%\<ユーザ名>.exe(ログオンしているユーザによる)

注:

  • 上記の場所にドロップ(作成)されるVBObfus.elのMD5は、VBObfus.elが実行されるたびに変わります。
  • %UserProfile%は可変の場所で、ユーザプロファイルのフォルダを指しています(例:C:\Documents and Settings\[カレントユーザ](Windows NT/2000/XP))。

・また、挿入されたUSBメモリに自身のコピーとこの実行ファイルを指す複数の.lnkファイルをドロップします。

・既存のフォルダがランダムに選択され、フォルダの属性が隠しフォルダに変更されます。また、既存のフォルダを模倣するため、フォルダアイコンを使って.lnkファイルが作成されます。

・以下のレジストリ値がシステムに追加されます。

  • Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Run "gaaujac" = %userprofile%\gaaujac.exe"

・上記のレジストリ値により、システムが起動するたびにVBObfus.elが実行されるようにします。

  • Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced Data: "ShowSuperHidden" = 00, 00, 00, 00

・上記のレジストリ項目により、隠しファイルとフォルダがWindowsエクスプローラに表示されないようにします。

・以下のドメインに接続し、さらなるマルウェアをダウンロードしようとします。

  • ns1.theimagep[削除].net:8000
  • ns1.pl[削除]r1253.com:8001
  • p2psh[削除]es .org:999

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・上記のファイルおよびレジストリキーが存在します。

・上記のドメインとのネットワークトラフィックが発生します。

TOPへ戻る

感染方法

・VBObfus.elはネットワーク共有、リムーバブルデバイスに自身とAutorun.infをコピーして拡散します。

・感染ファイルを手動で実行、あるいは感染ファイルが格納されたフォルダを開くと、Autorun.infファイルで自動実行が開始され、感染します。

また、VBObfus.elに利益がある、あるいは欲しいと思わせて受け取らせる可能性があります。最も一般的なインストール方法は、システムやセキュリティを悪用し、疑いを持たないユーザに手動で未知のプログラムを実行させることです。電子メール、悪質な、またはハッキングされているWebサイト、IRC(インターネットリレーチャット)、ピアツーピアネットワークなどを通じて配布されます。

TOPへ戻る

駆除方法

■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

TOPへ戻る