検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%temp%はWindowsオペレーティングシステムのテンポラリディレクトリを表記しています。
%malwarefolder%は、マルウェアプログラムのあるディレクトリを表記しています。
%startup%は、スタートアップディレクトリを表記しています。
解説
■侵入（インストレーション）について
このトロイの木馬は、実行時に自身を次の場所へコピーします。
%system%\ms%variable%.exe
%temp%\ms%variable%.exe
次のファイル名を使用して自身をシステムサービスとして登録します。
Network Adapter Events
次のレジストリを設定します。
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Network Adapter Events]
"Type" = 272
"Start" = 2
"ErrorControl" = 1
"ImagePath" = "%malwarefolder%\ms%variable%.exe /service"
"DisplayName" = "Network Adapter Events"
"ObjectName" = "LocalSystem"
"Description" = "Enables network event log messages issued
by adapters and other virtual network components. This
service cannot be stopped."
%variable%には可変の文字列が入ります。
■ペイロード情報
このトロイの木馬は、次のユーザー名で新しいユーザーアカウントを作成します。
TermUser
その際、パスワードは次のようになります。
TMPass32
TermUserというユーザーを次のグループに追加します。
管理者
リモートデスクトップユーザー
次のレジストリを設定します。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList]
"TermUser" = 0
これにより、作成したユーザーアカウントがすべてのアカウントのリスト内に隠ぺいされます。
次のソフトウェアをインストールします。
Thinsoft BeTwin
これにより、感染システムへのリモートデスクトップ接続が確立されます。
ユーザーのログインパスワードを変更する場合があります。
■その他の情報
これは、リモートからコントロール可能なバックドア型のトロイの木馬です。
リモートのコンピュータもしくはインターネットからデータや命令を受け取ります。
このトロイの木馬は1つのURLを保持しています。通信にはHTTPプロトコルが使用されます。
次の情報を収集します。
ユーザー名
ログインパスワード
コンピュータ名
オペレーティングシステムのバージョン
次を実行します。
リモートのコンピュータもしくはインターネットからファイルをダウンロードする
実行ファイルを実行する
収集した情報を送信する
次のレジストリキーにあるさまざまな情報を保持します。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TermServMonitor]
次のファイルを作成する場合があります。
%temp%\tk%variable%.exe
%variable%には可変の文字列が入ります。
コンピュータを終了させる場合があります。
さまざまなセキュリティソフトウェアを無効にします。
次のサービスを無効にします。
BFE
Detector de OfficeScanNT
fsbts
FSDFWD
F-Secure Filter
F-Secure Gatekeeper Handler Starter
F-Secure Gatekeeper
F-Secure HIPS
F-Secure Recognizer
FSFW
FSMA
FSORSPClient
ISWKL
IswSvc
kl1
klif
klpf
klpid
kmxagent
kmxbig
kmxcfg
kmxfile
kmxfw
kmxids
kmxndis
kmxsbx
lnsfw1
McAfee Framework Service
MpsSvc
Norton Antivirus Service
OutpostFirewall
Panda Antivirus
sfilter
sharedaccess
SmcService
UmxAgent
UmxCfg
UmxLU
UmxPol
vsdatant
vsmon
WinDefend
ZoneAlarm
次のレジストリを削除します。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Look 'n' Stop"
"Zone Labs Client"
"ZoneAlarm Client"
次のレジストリを登録する場合があります。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"GinaDLL"="xtgina.dll"
次のファイルを削除します。
%startup%\Kaspersky Anti-Hacker.lnk
|
