■侵入(インストレーション)について
Win32/Sality.NAO ウイルスが実行されると、ウイルスは %system%\drivers\ フォルダに次のファイルをドロップします。
 |
%variable%.sys (5941 B) |
また、同じフォルダに次のファイルをドロップします。
|
new_drv.sys (7680 B) |
※ %variable% は適当なテキストが入ります。
ウイルスは次の名前を使って、自分自身をサービスに登録をします。
|
IPFILTERDRIVER |
次のレジストリを登録します。
|
[HKEY_CURRENT_USER\Software\%username%914]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\
Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%filename%" = "%filename%:*:Enabled:ipsec"
|
実行された命令は、Windows ファイアウォール プログラムで例外を登録します。
さらに、次のレジストリを設定します。
|
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"GlobalUserOffline" = 0
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\system]
"EnableLUA" = 0 |
次のレジストリの登録を削除します。
|
[HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Ext\Stats]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Ext\Stats]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
[HKEY_CURRENT_USER\System\CurrentControlSet\Control\SafeBoot]
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot] |
■実行ファイルの感染について
Win32/Sality.NAO ウイルスは、ポリモーフィック型でファイルに感染します。ウイルスは活動する際、ローカルおよびネットワークドライブ上の次の拡張子のファイルを検索します。
|
.exe
.scr
|
実行可能なファイル形式において、名前で次の文字列のうちの1つを含むフォルダの中にない場合に限り感染を試みます。
|
SYSTEM
AHEAD
|
ファイルは、ウイルスを含む新しいセクションを加えることに影響されます。付け加えられたコードのサイズは57344バイトです。ホストファイルは、ウイルスがオリジナルのコードを実行させる前に、活動できるよう修正されます。
ウイルスは、次のレジストリ登録によって関連つけられるファイルに影響を与えます。
|
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
|
この原因は、システム起動時にウイルスが実行されるためです。
■その他の情報
次のファイルを削除します。
|
*.vdb
*.avc
*drw*.key |
次のサービスを無効にします。
|
ALG
aswUpdSv
avast! Antivirus
avast! Mail Scanner
avast! Web Scanner
BackWeb Plug-in - 4476822
bdss
BGLiveSvc
BlackICE
CAISafe
ccEvtMgr
ccProxy
ccSetMgr
F-Prot Antivirus Update Monitor
fsbwsys
FSDFWD
F-Secure Gatekeeper Handler Starter
fshttps
FSMA
InoRPC
InoRT
InoTask
ISSVC
KPF4
LavasoftFirewall
LIVESRV
McAfeeFramework
McShield
McTaskManager
navapsvc
NOD32krn
NPFMntor
NSCService
Outpost Firewall main module
OutpostFirewall
PAVFIRES
PAVFNSVR
PavProt
PavPrSrv
PAVSRV
PcCtlCom
PersonalFirewal
PREVSRV
ProtoPort Firewall service
PSIMSVC
RapApp
SmcService
SNDSrvc
SPBBCSvc
Symantec Core LC
Tmntsrv
TmPfw
tmproxy
UmxAgent
UmxCfg
UmxLU
UmxPol
vsmon
VSSERV
WebrootDesktopFirewallDataService
WebrootFirewall
XCOMM
AVP |
ウイルスは、次の文字列を使ったウィンドウが生成される際にそのプログラムを停止させます。
|
dr.web
cureit
|
ウイルスはURLのリストを持っており、いくつかのファイルをダウンロードを試みます。ダウンロードが成功すると、次の場所に保存され、さらに実行されます。
|
%temp%\win%variable%.exe
%temp%\%variable%.exe
※ %variable% は適当なテキストが入ります。
|
ウイルスは、次のプロセスで、それ自身のプログラムコードで新しいスレッドを作成して実行させます。
|
%system%\notepad.exe
%system%\telnet.exe
%system%\regedt32.exe
%system%\write.exe
%system%\cmd.exe |
|
