製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報:V
ウイルス情報
ウイルス名危険度
VBObfus.el
企業ユーザ:
個人ユーザ:
種別トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
6246
対応定義ファイル
(現在必要とされるバージョン)
6793 (現在7600)
対応エンジン5.1.00以降 (現在5600) 
エンジンバージョンの見分け方
別名Avp - Worm.Win32.VBNA.fbu Ikarus - Worm.Win32.Vobfus Msmp - Worm:Win32/Vobfus.B Nav - W32.Changeup!gen
情報掲載日2012/08/07
発見日(米国日付)2012/08/03
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
10/22Generic Down...
10/22Generic Down...
10/22FakeAV-M.bfr...
定義ファイル・エンジンの
ダウンロード!
  定義ファイル:7600
 エンジン:5600
 
ウイルス検索
 


概要TOPに戻る

・VBObfus.elは、実行されると、さらに悪質なコンポーネントをWebからダウンロードしてターゲットマシンにインストールするダウンローダ型トロイの木馬です。

・ファイル名、アクセスされるURL、ダウンロードされるファイルなどの特徴は攻撃者の設定によって異なります。よって、ここでは一般的な特徴を説明します。

ウイルスの特徴TOPに戻る

・「VBObfus.el」は、感染したUSBドライブまたは他のマルウェアによるダウンロードによってシステムに侵入する可能性がある自動実行型ワームです。

・システムが感染すると、挿入されたすべてのリムーバブルドライブが感染します。ドライブのルートに自身のコピーおよびAutorun.infを作成し、別のシステムに挿入されたときにファイルが自動的に実行されるようにします。

・実行時、以下の場所にファイルを作成します。

  • %UserProfile%\gaaujac.exe
  • %UserProfile%\<ユーザ名>.exe(ログオンしているユーザによる)

注:

  • 上記の場所にドロップ(作成)されるVBObfus.elのMD5は、VBObfus.elが実行されるたびに変わります。
  • %UserProfile%は可変の場所で、ユーザプロファイルのフォルダを指しています(例:C:\Documents and Settings\[カレントユーザ](Windows NT/2000/XP))。

・また、挿入されたUSBメモリに自身のコピーとこの実行ファイルを指す複数の.lnkファイルをドロップします。

・既存のフォルダがランダムに選択され、フォルダの属性が隠しフォルダに変更されます。また、既存のフォルダを模倣するため、フォルダアイコンを使って.lnkファイルが作成されます。

・以下のレジストリ値がシステムに追加されます。

  • Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Run "gaaujac" = %userprofile%\gaaujac.exe"

・上記のレジストリ値により、システムが起動するたびにVBObfus.elが実行されるようにします。

  • Hkey_Current_User\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced Data: "ShowSuperHidden" = 00, 00, 00, 00

・上記のレジストリ項目により、隠しファイルとフォルダがWindowsエクスプローラに表示されないようにします。

・以下のドメインに接続し、さらなるマルウェアをダウンロードしようとします。

  • ns1.theimagep[削除].net:8000
  • ns1.pl[削除]r1253.com:8001
  • p2psh[削除]es .org:999

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る

・上記のファイルおよびレジストリキーが存在します。

・上記のドメインとのネットワークトラフィックが発生します。

感染方法TOPへ戻る

・VBObfus.elはネットワーク共有、リムーバブルデバイスに自身とAutorun.infをコピーして拡散します。

・感染ファイルを手動で実行、あるいは感染ファイルが格納されたフォルダを開くと、Autorun.infファイルで自動実行が開始され、感染します。

また、VBObfus.elに利益がある、あるいは欲しいと思わせて受け取らせる可能性があります。最も一般的なインストール方法は、システムやセキュリティを悪用し、疑いを持たないユーザに手動で未知のプログラムを実行させることです。電子メール、悪質な、またはハッキングされているWebサイト、IRC(インターネットリレーチャット)、ピアツーピアネットワークなどを通じて配布されます。

駆除方法TOPへ戻る
■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。