検出した場合の対処方法

常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。

対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより二次感染、三次感染を防げます。また、自分が作成したデータなどに感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータに戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。（検出したファイル自身がウイルスそのものである場合は、削除を行ってください）

駆除もしくは削除後、再起動すると再び同じウイルスによって活動が発生する場合は、システムをセーフモードで起動し、検査および駆除・削除を実施してください。

解説での表記（用語）について

以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを %windir% と表記しており、インストール時の設定により異なる場合があります。
%windir% のサブディレクトリである"System"や"System32"は %system% と表記しています。

解説

■侵入（インストレーション）について

Win32/Delf.NGW トロイが実行されると、自分自身を次の場所へ次のファイル名でコピーします。

%windir%\msiutil.exe %windir%\system\lprhelp32.dll c:\gameload.dll

%windir%\kbdfi32.dll （26624 B） c:\ali.html （0 B）

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "Microsoft Windows Visual V2.0" = "%windir%\msiutil.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\InstalledComponents \Microsoft Windows Visual V2.0] "StubPath" = "%windir%\msiutil.exe" [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion] "Microsoft Windows Visual V2.0" = "%garbage_string%"

%default_internet_browser%

■その他の情報

バックドアは、インターネットもしくはリモート先のコンピューターから命令やデータを送ります。バックドアは6つのURLを持っています。

バックドアは、そのアドレスからファイルをダウンロードしようと試みます。その際、HTTPプロトコルを使用します。ダウンロードしたファイルは次の場所に保存されます。

%windir%

もし、stclient.ini ファイルを使うことができると、次の処理が実行されます。

・インターネットもしくは、リモート先のコンピューターからファイルをダウンロードします。 ・実行可能なファイルを実行します。 ・実行中のプロセスを停止します。 ・ファイルを削除します。

バックドアは、感染したコンピューターより攻撃者へさまざまな情報を送信します。また、次の情報が集められます。

・ユーザー名 ・オペレーティングシステムのバージョン ・マルウェアのバージョン