検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%malwarefilepath%は、マルウェアプログラムまでのパスを表記しています。
%random% には、適当な文字列が入ります。
%temp%はWindowsオペレーティングシステムのテンポラリディレクトリを表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、実行時に次のファイルを作成します。
%windir%\system32\mgt26012.ocx (16896 B)
%windir%\system32\mgt99018.ocx (60928 B)
%windir%\Fonts\mgt26012.ttf (412 B)
次のファイルのコピーを作成します。（コピー元、コピー先）
%windir%\System32\rundll32.exe,
%wnidir%\system32\jahjah26.exe
次のプロセスに自身のプログラムコードを挿入して新たなスレッドを作成、実行します。
explorer.exe
次の命令を実行します。
%windir%\system32\jahjah26.exe
%windir%\system32\mgt26012.ocx pfjaoidjglkajd
%malwarefilepath%
%windir%\system32\jahjah26.exe
%windir%\system32\mgt99018.ocx pfjieaoidjglkajd
次のレジストリーを設定します。
[HKEY_LOCAL_MACHINE\System\ControlSet001\control\Keyboard Layouts\%layout%]
"Ime file" = "mgt99018.ocx"
"Layout Text" = "US"
"Layout File" = "kbdus.dll"
[HKEY_CURRENT_USER\Keyboard Layout\Preload]
"1" = "%layout%"
これにより、アプリケーションが起動するたびに実行されるようになります。
実行ファイルの名前が次のいずれかである場合は、直ちに活動を停止します。
my.exe
wow.exe
xy2.exe
dragonnest.exe
dnlauncher.exe
qqlogin.exe
iexplore.exe
xcb.data
インストール終了後、元の実行ファイルを削除します。
■情報の取得
このトロイの木馬は、「カウンターストライクオンライン」というオンラインゲームに関する情報を収集します。
次の情報を取得します。
ログイン名
ログインパスワード
収集した情報をリモートのコンピューターに送信しようとします。
5つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
■その他の情報
このトロイの木馬は、名前に次の文字列のいずれかが含まれているプロセスを終了させます。
imeutil.exe
sgtool.exe
360safe.exe
360tray.exe
config.exe
sogou
次のファイルのコピーを作成する場合があります。（コピー元、コピー先）
%windir%\system32\kernel32.dll", "%temp%\win07%random%.dll
%radnom%には可変の文字列が入ります。
次のファイルを削除する場合があります。
%counterstrikeonlinerootfolder%\dsound.dll
%counterstrikeonlinerootfolder%\draw.dll
%counterstrikeonlinerootfolder%\comres.dll
%counterstrikeonlinerootfolder%\kuser.dll
%counterstrikeonlinerootfolder%\midimap.dll
次のレジストリーを登録する場合があります。
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"SfcDisable" = 1
次を実行する場合があります。
特定のURLに接続する
収集した情報を送信する
システムの日時が特定の条件に合致した場合、自身の機能を一部無効にします。
|
