検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%temp%はWindowsオペレーティングシステムのテンポラリディレクトリを表記しています。
%malwarepath%は、マルウェアプログラムまでのパスを表記しています。
%systemdrive%は、システムドライブを表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、ソーシャルネットワーキングサイトを介して感染を広げます。
次のソーシャルネットワーキングサイトが影響を受けます。
Facebook
マルウェアが仕掛けられたWebサイトへのリンクを介して感染を広げます。
リンクをクリックすると、トロイの木馬のコピーがダウンロードされます。
このトロイの木馬は、実行時に自身を次の場所にコピーします。
%windir%\update.1\svchost.exe
%windir%\services32.exe
次のファイルを作成します。
%temp%\%variable1%.bat
%temp%\%variable2%.bat
%windir%\proc_list1.log
次のファイルを作成する場合があります。
%windir%\update.tray-%number1%-%number2%\svchost.exe
%windir%\winlog-dirs.txt
%windir%\winlog-ids.txt
%windir%\front_ip_list.txt
%variable1-2%と%number1-2%には、可変の文字列が入ります。
次のファイル名を使用して自身をシステムサービスとして登録します。
wxpdrivers
システムが起動するたびに実行されるよう、次のレジストリエントリを登録します。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"wxpdrv" = "%windir%\services32.exe"
次のレジストリを登録します。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wxpdrivers]
"Type" = 16
"Start" = 2
"ErrorControl" = 0
"ImagePath" = "%malwarepath% srv"
"DisplayName" = "wxpdrivers"
"ObjectName" = "LocalSystem"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wxpdrivers\Enum]
"0" = "Root\LEGACY_WXPDRIVERS\0000"
"Count" = 1
"NextInstance" = 1
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\wxpdrivers]
"(Default)" = "Service"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\wxpdrivers]
"(Default)" = "Service"
[HKEY_LOCAL_MACHINE\SOFTWARE\services32.exe]
"close" = "%value%"
"ver" = "%value%"
次のレジストリを登録する場合があります。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirewallDisableNotify" = 1
"UpdatesDisableNotify" = 1
"AntivirusDisableNotify" = 1
"FirewallOverride" = 1
"DisableThumbnailCache" = 1
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\
SafeBoot]
"AlternateShell" = "services32.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"AutoAdminLogon" = "1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"tray_ico%number%" =
"%windir%\update.tray-%number1%-%number2%\svchost.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations]
"ModRiskFileTypes" = "*.exe"
次のレジストリを削除する場合があります。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = "%value%"
次のファイルを改ざんする場合があります。
%systemdrive%\boot.ini
次の命令を実行する場合があります。
bcdedit32.exe /set safeboot minimal (alternateshell)
■その他の情報
このトロイの木馬は、リモートのコンピュータもしくはインターネットからデータや命令を受け取ります。
インターネットからいくつかのファイルをダウンロードしようとします。
ダウンロードしたファイルを次の場所に保存します。
%temp%\%variable%.exe
%windir%\sysdriver32.exe
%windir%\sysdriver32_.exe
%windir%\Temp\%variable%.exe
%variable%には可変の文字列が入ります。
4つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
インターネットに接続されているかどうかを確認するため、次のサーバーへの接続を試みます。
youtube.com
blogspot.com
baidu.com
wikipedia.org
live.com
twitter.com
さまざまなセキュリティソフトウェアを無効にします。
次のアプリケーションの動作に影響を及ぼします。
Agava Firewall
Avast
AVG
Avira AntiVir
Comodo Internet Security
Dr. Web
ESET NOD32 Antivirus
ESET Smart Security
ESET SysInspector
ESET SysRescue
Kaspersky Anti-Virus
Kaspersky Internet Security
McAfee AntiVirus
Microsoft Defender
Microsoft Security Essentials
Norton AntiVirus
Outpost Firewall
Panda Antivirus
感染先のコンピュータで問題が検出されたという警告を表示し、修正するように促します。
次の偽のダイアログボックスを表示します。
オペレーティングシステムを再起動させる場合があります。
|
