検出した場合の対処方法

常駐監視を行っているAMON、IMON、DMON、EMONによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windows のシステムの復元により修復しなければならない可能性があります。

解説での表記(用語)について

以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir% と表記しており、インストール時の設定により異なる場合があります。%windir% のサブディレクトリである"System"や"System32"は %system% と表記しています。

解説

■侵入(インストレーション)について

Win32/Mabezat.A ウイルスが実行されると、ウイルスは自分自身を次の場所へコピーします。

%drive%\Documents and Settings\

tazebama.dl_ hook.dl_

tazebama.dll (32768 B)

%appdata%\tazebama\

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer] "NoDriveTypeAutoRun" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer] "NoDriveTypeAutoRun"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Explorer\Advanced] "Hidden" = 2 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Explorer\Advanced] "HideFileExt" = 1 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Explorer\Advanced] "ShowSuperHidden" = 0

■実行ファイルの感染について

ウイルスは、実行ファイルに感染します。ウイルスは、次の拡張子の実行可能なファイルを検索します。

.exe

元々の実行可能なファイルの最後にウイルスのコードを加えて感染していきます。
ホストファイルは、元々のコードが実行される前に優先してウイルスが実行できるよう修正されます。

■拡散について

ウイルスは、次のファイル名を使ってすべてのドライブのルートフォルダに自分自身をコピーします。

zPharaoh.exe

autorun.inf

ウイルスは、リムーバブルドライブの既存フォルダに自分自身をコピーします。
そして、その場所に次のファイル名で保存されます。

Adjust Time.exe AmericanOnLine.exe Antenna2Net.exe BrowseAllUsers.exe CD Burner.exe Crack_GoogleEarthPro.exe Disk Defragmenter.exe FaxSend.exe FloppyDiskPartion.exe GoogleToolbarNotifier.exe HP_LaserJetAllInOneConfig.exe IDE Conector P2P.exe InstallMSN11Ar.exe InstallMSN11En.exe JetAudio dump.exe KasperSky6.0 Key.doc.exe Lock Folder.exe LockWindowsPartition.exe Make Windows Original.exe MakeUrOwnFamilyTree.exe Microsoft MSN.exe Microsoft Windows Network.exe msjavx86.exe NokiaN73Tools.exe Office2003 CD-Key.doc.exe Office2007 Serial.txt.exe PanasonicDVD_DigitalCam.exe RadioTV.exe Recycle Bin.exe RecycleBinProtect.exe ShowDesktop.exe Sony Erikson DigitalCam.exe Win98compatibleXP.exe Windows Keys Secrets.exe WindowsXp StartMenu Settings.exe WinrRarSerialInstall.exe

".exe".

■その他の情報

現在のシステム日付がマッチした場合、次の拡張子を持つファイルは暗号化されます。

.ASP .ASPX .ASPX.CS .BAS .C .CPP .DOC .H .HLP .HTM .HTML .MDB .MDF .PAS .PDF .PHP .PPT .PSD .RAR .RTF .TXT .XLS .ZIP

%userprofile%\Local Settings\Application Data\Microsoft\CD Burning\

zPharaoh.exe

autorun.inf

%userprofile%\Local Settings\Application Data\Microsoft\CD Burning\

%appdata%\tazebama\zPharaoh.dat

yDocuments.rar backup.rar documents_backup.rar imp_data.rar source.rar windows_secrets.rar passwords.rar serials.rar office_crack.rar windows.rar