検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windows のシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記(用語)について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir% と表記しており、インストール時の設定により異なる場合があります。%windir% のサブディレクトリである"System"や"System32"は %system% と表記しています。
%commonappdata%は、マイドキュメント以下のApplication Dataディレクトリを表記しています。
解説
■侵入(インストレーション)について
このアドウェアは、実行時に自身を次の場所にコピーします。
%commonappdata%\%variable%.exe
%variable%には可変の文字列が入ります。
システムが起動するたびに実行されるよう、次のレジストリーエントリーを登録します。
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"DSMmqWNIvi.exe" = "%commonappdata%\%variable%.exe"
次のファイルを作成します。
%commonappdata%\%variable%
次のレジストリーエントリーを登録します。
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden" = 0
"ShowSuperHidden" = 0
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr" = 1
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download]
"CheckExeSignatures" = "no"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments]
"SaveZoneInformation" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations]
"LowRiskFileTypes" = ".zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;.mp3;.m3u;.wav;.scr;"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Use FormSuggest" = "Yes"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
"1601" = 0
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"WarnOnZoneCrossing" = 0
"WarnonBadCertRecving" = 0
"CertificateRevocation" = 0
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing]
"State" = 146944
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"TaskbarGlomming" = 0
"TaskbarGlomLevel" = 2
"Start_ShowNetPlaces" = 0
"Start_ShowNetConn" = 0
"Start_ShowSetProgramAccessAndDefaults" = 0
"Start_ShowSearch" = 0
"Start_ShowRun" = 0
"Start_ShowRecentDocs" = 0
"Start_ShowPrinters" = 0
"Start_ShowMyPics" = 0
"Start_ShowMyGames" = 0
"Start_ShowMyMusic" = 0
"Start_ShowMyDocs" = 0
"Start_ShowMyComputer" = 0
"Start_ShowHelp" = 0
"Start_ShowControlPanel" = 0
"Start_ShowUser" = 0
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage]
"Favorites" = 255
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 1
"UpdatesDisableNotify" = 1
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 1
"UpdatesDisableNotify" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu]
"{20D04FE0-3AEA-1069-A2D8-08002B30309D}" = 1
"{450D8FBA-AD25-11D0-98A8-0800361B1103}" = 1
"{645FF040-5081-101B-9F08-00AA002F954E}" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel]
"{208D2C60-3AEA-1069-A2D7-08002B30309D}" = 1
"{20D04FE0-3AEA-1069-A2D8-08002B30309D}" = 1
"{450D8FBA-AD25-11D0-98A8-0800361B1103}" = 1
"{645FF040-5081-101B-9F08-00AA002F954E}" = 1
次のレジストリーキーにあるさまざまな情報を保持します。
[HKEY_CURRENT_USER\Software]
特定の仮想環境内で実行されていることを確認すると、自身の実行を終了します。
実行中のプロセスの名前に次の文字列のいずれかが含まれている場合は、直ちに自身を終了します。
dumpcap.exe
frzstate.exe
http.exe
msvsmon.exe
procexp.exe
procmon.exe
tcpview.exe
tor.exe
win32_remote.exe
windbg.exe
wireshark.exe
コンピューター名が次のいずれかである場合は、直ちに自身を終了します。
ANDY-E20A8129T3
CCS
COMEBACKGMBH
CoreyWeiner-PC
HANUELE-BC60720
SNDBOX11
SNDBOX12
Vista64
Win7-x86-PC
XP32
XP32Q"
Windowsのユーザー名が次のいずれかである場合は、直ちに自身を終了します。
vmclient
1046022
balser
Corey Weiner
sndbox
Tester
■その他の情報
このアドウェアは、偽のシステムツールです。
感染先のコンピュータで問題が検出されたという警告を表示し、修正するように促します。
これらの問題や脅威は偽物です。
画面例を次に示します。
ユーザーにその脅威を削除するためのプログラムを購入させることを目的としています。
次のサーバーに接続して現在の日時を取得します。
time.windows.com:123
リモートのコンピューターもしくはインターネットからデータや命令を受け取ります。
10のURLを保持しています。通信にはHTTPプロトコルが使用されます。
次を実行します。
リモートのコンピューターもしくはインターネットからファイルをダウンロードする
実行ファイルを実行する
コンピューターをシャットダウンして再起動する
次のプログラムを終了させます。
chrome.exe
firefox.exe
iexplore.exe
mrt.exe
MSASCui.exe
msmpeng.exe
msseces.exe
opera.exe
procexp.exe
regedit.exe
safari.exe
taskmgr.exe
|
