検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%malwarefilepath%は、マルウェアプログラムまでのパスを表記しています。
%remotecomputer%は、リモートコンピューター名を表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、実行時に自身を次の場所にコピーします。
%windir%\system32\trksvr.exe (x86)
次のファイルを作成します。
%windir%\system32\netinit.exe (133120 B,Win32/DistTrack.A) (x86)
%windir%\system32\trksvr.exe (532992 B, Win64/DistTrack.A)(x64)
%windir%\system32\netinit.exe (155136 B,Win64/DistTrack.A) (x64)
これらのファイルを実行します。
次の名前を使用して自身をシステムサービスとして登録します。
TrkSvr
システムの日時が特定の条件に合致した場合、次のファイルを作成します。
%windir%\system32\%variable% (194048 B, Win32/DistTrack.A)(x86)
%windir%\System32\Drivers\drdisk.sys (27280 B) (x86)
%windir%\system32\%variable% (227840 B, Win64/DistTrack.A)(x64)
%windir%\System32\Drivers\drdisk.sys (31632 B) (x64)
%variable%は次の文字列のいずれかになります。
caclsrv.exe
certutl.exe
clean.exe
ctrl.exe
dfrag.exe
dnslookup.exe
dvdquery.exe
event.exe
findfile.exe
gpget.exe
ipsecure.exe
iissrv.exe
msinit.exe
ntfrsutil.exe
ntdsutl.exe
power.exe
rdsadmin.exe
regsys.exe
sigver.exe
routeman.exe
rrasrv.exe
sacses.exe
sfmsc.exe
smbinit.exe
wcscript.exe
ntnw.exe
netx.exe
fsutl.exe
extract.exe
これらのファイルを実行します。
次のシステムドライバーをインストールします。
%windir%\System32\Drivers\drdisk.sys
■共有フォルダーおよびP2Pネットワークを経由した感染について
このトロイの木馬は、ローカルネットワーク上の他のコンピューターの共有フォルダーに自身のコピーを試みます。
共有ネットワークフォルダーの次の名前を使用します。
\\%remotecomputer%\ADMIN$\system32\
\\%remotecomputer%\C$\WINDOWS\system32\
\\%remotecomputer%\D$\WINDOWS\system32\
\\%remotecomputer%\E$\WINDOWS\system32\
成功すると、トロイの木馬のコピーが攻撃マシンから取得されます。
ファイル名は次のいずれかになります。
caclsrv.exe
certutl.exe
clean.exe
ctrl.exe
dfrag.exe
dnslookup.exe
dvdquery.exe
event.exe
findfile.exe
gpget.exe
ipsecure.exe
iissrv.exe
msinit.exe
ntfrsutil.exe
ntdsutl.exe
power.exe
rdsadmin.exe
regsys.exe
sigver.exe
routeman.exe
rrasrv.exe
sacses.exe
sfmsc.exe
smbinit.exe
wcscript.exe
ntnw.exe
netx.exe
fsutl.exe
extract.exe
Windowsのタスク（タスクスケジューラ）に、次のコマンドが繰り返し実行されるよう登録します。
\\%remotecomputer%\%malwarefilepath%
■情報の取得
このトロイの木馬は、次の情報を収集します。
コンピューターのIPアドレス
収集した情報をリモートのコンピューターに送信しようとします。
■ペイロード情報
このトロイの木馬は、次の命令を実行します。
cmd.exe "del /f /a %windir%\Temp\filer*.exe"
cmd.exe "sc stop drdisk 2>&1 >nul"
cmd.exe "sc delete drdisk 2>&1 >nul"
cmd.exe "sc create drdisk type= kernel start= demand
binpath= System32\Drivers\drdisk.sys 2>&1 >nul"
cmd.exe "sc start drdisk 2>&1 >nul"
cmd.exe "dir "C:\Documents and Settings\" /s /b /a:-D
2>nul | findstr -i download 2>nul >f1.inf"
cmd.exe "dir "C:\Documents and Settings\" /s /b /a:-D
2>nul | findstr -i document 2>nul >>f1.inf"
cmd.exe "dir C:\Users\ /s /b /a:-D 2>nul | findstr -i
download 2>nul >>f1.inf"
cmd.exe "dir C:\Users\ /s /b /a:-D 2>nul | findstr -i
document 2>nul >>f1.inf"
cmd.exe "dir C:\Users\ /s /b /a:-D 2>nul | findstr -i
picture 2>nul >>f1.inf"
cmd.exe "dir C:\Users\ /s /b /a:-D 2>nul | findstr -i
video 2>nul >>f1.inf"
cmd.exe "dir C:\Users\ /s /b /a:-D 2>nul | findstr -i
music 2>nul >>f1.inf"
cmd.exe "dir "C:\Documents and Settings\" /s /b /a:-D
2>nul | findstr -i desktop 2>nul >f2.inf"
cmd.exe "dir C:\Users\ /s /b /a:-D 2>nul | findstr -i
desktop 2>nul >>f2.inf"
cmd.exe "dir C:\Windows\System32\Drivers /s /b /a:-D 2>nul
>>f2.inf"
cmd.exe "dir C:\Windows\System32\Config /s /b /a:-D 2>nul
| findstr -v -i systemprofile 2>nul >>f2.inf"
cmd.exe "dir f1.inf /s /b 2>nul >>f1.inf"
cmd.exe "dir f2.inf /s /b 2>nul >>f1.inf"
cmd.exe "shutdown -r -f -t 2"
特定のファイルのコンテンツを自身のデータで上書きします。
すべてのドライブのマスターブートレコード、パーティションテーブルを自身のデータで上書きします。
オペレーティングシステムをクラッシュさせる場合があります。
■その他の情報
このトロイの木馬は、インターネットからファイルをダウンロードします。
2つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
ダウンロードしたファイルを次の場所に保存します。
%windir%\Temp\filer%variable%.exe
%windir%\inf\netft429.pnf
%variable%には可変の文字列が入ります。
次のファイルを実行します。
%windir%\Temp\filer%variable%.exe
オペレーティングシステムを再起動させる場合があります。
|
