検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%appdata%は、マイドキュメント以下のApplication Dataディレクトリを表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、実行時に次のファイルを作成します。
%appdata%\Sun\fkhneec.dll (36352 B)
%appdata%\Sun\wsfxq
%appdata%\Sun\fkhneec_shrd
次のファイルを作成する場合があります。
%appdata%\Sun\crff.txt
%appdata%\Sun\xkelf.txt
%appdata%\Sun\ffefx.txt
%appdata%\Sun\rwbbr.txt
%appdata%\Sun\cetw.txt
%appdata%\Sun\vntw.txt
%appdata%\Sun\vwvn.txt
%appdata%\Sun\lfmt.txt
%appdata%\Sun\cngrh.txt
%appdata%\Sun\mogr.txt
%appdata%\Sun\oietr.txt
%appdata%\Sun\mxd1.txt
この%appdata%\fkhneec.dllライブラリは、次のプロセスにインジェクトされます。
iexplore.exe
firefox.exe
システムが起動するたびに実行されるよう、次のレジストリエントリを登録します。
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"lpc" = "rundll32.exe "%appdata%\Sun\fkhneec.dll",
RegisterDll"
次のレジストリを登録します。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{24EA4F28-B636-43C1-BCE6-F287B56E42D2}]
"(Default)" = "Transaction Manager"
"Locale" = "EN"
"StubPath" = "rundll32.exe "%AppData%\Sun\fkhneec.dll",
UnregisterDll"
"IsInstalled" = 1
"Version" = "4,3,6,3"
[HKEY_CURRENT_USER\Software\Microsoft\Clock]
"D1" = 79 74 7D 71 7C 62 7C 74 66 64 70 78 26 76 73 3A 7C
78 72 7A 39 7A 70 61 72 7A 7A 70 70 64
"D2" = 66 70 65 26
"D3" = 66 70 65 27
"pr" = 7C 61 62 64 2F 39 3B 6F 7E 7B 72 72 7D 74 78 75 3B
7F 7A 73 79 3B 7B 73 63 73 79 78 71 73 66
[HKEY_CURRENT_USER\Software\Microsoft\Clock\0]
"knhbc" = "17052011_034509_105437"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"TabProcGrowth" = 0
"NoProtectedModeBanner" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Security]
"DisableFixSecuritySettings" = 1
"DisableSecuritySettingsCheck" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\PhishingFilter]
"Enabled" = 0
"EnabledV8" = 0
"ShownVerifyBalloon" = 3
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1]
"2500" = 3
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2]
"2500" = 3
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3]
"2500" = 3
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4]
"2500" = 3
■その他の情報
このトロイの木馬は、ユーザーが特定のWebサイトを閲覧中に個人情報を収集します。
リモートのコンピュータもしくはインターネットからデータや命令を受け取ります。
このトロイの木馬は1つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
次を実行します。
実行ファイルを実行する
キー入力内容を記録する
Windowsのクリップボードから情報を盗み出す
自身を感染先のコンピュータから削除する
cookieを削除する
収集した情報を送信する
次の情報を収集します。
特定のアプリケーション/サービスのログインユーザー名
特定のアプリケーション/サービスのログインパスワード
cookie
電子証明書
収集された情報は次のファイルに保存されます。
%appdata%\Sun\crff.txt
次のファイルを削除する場合があります。
C:\NTDETECT.COM
C:\ntldr
%appdata%\Sun\crff.txt
%appdata%\Sun\xkelf.txt
%appdata%\Sun\ffefx.txt
%appdata%\Sun\rwbbr.txt
%appdata%\Sun\cetw.txt
%appdata%\Sun\vntw.txt
%appdata%\Sun\vwvn.txt
%appdata%\Sun\lfmt.txt
%appdata%\Sun\cngrh.txt
%appdata%\Sun\mogr.txt
%appdata%\Sun\oietr.txt
%appdata%\Sun\mxd1.txt
|
