検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%currentfolder%は、カレントディレクトリを表記しています。
%malwarefilename%は、マルウェアプログラムファイル名を表記しています。
%programfiles%は、プログラムファイルディレクトリを表記しています。
%temp%はWindowsオペレーティングシステムのテンポラリディレクトリを表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、自身のコピーを作成しません。
■その他の情報
次のレジストリーを登録する場合があります。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"UACDisableNotify" = 1
"FirstRunDisabled" = 1
"AutoUpdateDisableNotify" = 1
"InternetSettingsDisableNotify" = 1
"AntiVirusDisableNotify" = 1
"AntiVirusOverride" = 1
"FirewallDisableNotify" = 1
"FirewallOverride" = 1
"UpdatesDisableNotify" = 1
"UpdatesOverride" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\
Svc]
"UACDisableNotify" = 1
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 1
"AntiVirusOverride" = 1
"FirewallOverride" = 1
"UpdatesDisableNotify" = 1
"UpdatesOverride" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender]
"DisableAntiSpyware" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT]
"DontReportInfectionInformation" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"Hidden" = 2
"HideFileExt" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\Associations]
"LowRiskFileTypes" = ".exe;.bat;.com;.cmd;"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\Attachments]
"SaveZoneInformation" = 1
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\
Download]
"CheckExeSignatures" = "no"
"RunInvalidSignatures" = 1
検出されないようにするため、一部のセキュリティーソフトウェアの動作に干渉します。
次のファイルを削除する場合があります。
%programfiles%\AVAST Software\Avast\AvastSvc.exe
%programfiles%\AVG\AVG9\avgemc.exe
%programfiles%\AVG\AVG9\avgwdsvc.exe
%programfiles%\AVG\AVG10\avgfws.exe
%programfiles%\AVG\AVG10\Identity
Protection\Agent\Bin\AVGIDSAgent.exe
%programfiles%\AVG\AVG10\avgwdsvc.exe
%windir%\system32\DRIVERS\avgldx86.sys
%windir%\system32\DRIVERS\avgmfx86.sys
%programfiles%\AVG\AVG10\Identity
Protection\Agent\Bin\AVGIDSAgent.exe
%programfiles%\AVG\AVG10\avgwdsvc.exe
%programfiles%\AVG\AVG10\avgwdsvc.exe
%programfiles%\AVG\AVG2012\AVGIDSAgent.exe
%programfiles%\AVG\AVG2012\avgwdsvc.exe
%windir%\system32\DRIVERS\AVGIDSEH.Sys
%windir%\system32\DRIVERS\AVGIDSFilter.Sys
%windir%\system32\DRIVERS\AVGIDSShim.Sys
%windir%\system32\DRIVERS\avgldx86.sys
%windir%\system32\DRIVERS\avgmfx86.sys
%windir%\system32\DRIVERS\avgrkx86.sys
%programfiles%\ESET\ESET NOD32 Antivirus\ekrn.exe
%programfiles%\Norton Internet
Security\Engine\17.0.0.136\ccSvcHst.exe
%programfiles%\Norton Internet
Security\Engine\17.0.0.136\diMaster.dll
%programfiles%\Norton Internet
Security\Engine\18.1.0.37\ccSvcHst.exe
%programfiles%\Microsoft Security Client\CleanUpPolicy.xml
%programfiles%\Microsoft Security
Client\Antimalware\MsMpEng.exe
%programfiles%\Microsoft Security Client\msseces.exe
%programfiles%\Microsoft Security Client\shellext.dll
%programfiles%\Microsoft Security Client\sqmapi.dll
%programfiles%\Microsoft Security
Client\Antimalware\IpsConsumer.dll
%programfiles%\Microsoft Security
Client\Antimalware\MpAsDesc.dll
%programfiles%\Microsoft Security
Client\Antimalware\MpClient.dll
%programfiles%\Microsoft Security
Client\Antimalware\MpCmdRun.exe
%programfiles%\Microsoft Security
Client\Antimalware\MpCommu.dll
%programfiles%\Microsoft Security
Client\Antimalware\mpevmsg.dll
%programfiles%\Microsoft Security
Client\Antimalware\MpOAv.dll
%programfiles%\Avira\AntiVir Desktop\sched.exe
%programfiles%\Avira\AntiVir Desktop\avguard.exe
%windir%\system32\DRIVERS\avgntflt.sys
%windir%\system32\DRIVERS\avipbb.sys
%programfiles%\Kaspersky Lab\Kaspersky Internet Security
6.0\avp.exe
%windir%\system32\drivers\kl1.sys
%windir%\system32\drivers\klif.sys
次のファイルを作成する場合があります。
%temp%\KB119875.txt
%temp%\Plugin_IE8_.exe
%temp%\KB948463.log
%temp%\KB998866.log
%temp%\KB961355.log
%temp%\KB964421.log
%currentfolder%\%malwarefilename%.bat
次の命令を実行する場合があります。
taskkill /f /im explorer.exe
shutdown /r /t 60
%currentfolder%\%malwarefilename%.bat
次のメッセージを表示する場合があります。
|
