検出した場合の対処方法
常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。
対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。
解説での表記（用語）について
以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。
%drive%には、任意のドライブ名が入ります。
%userprofile%は、ユーザーのマイドキュメントディレクトリを表記しています。
%securityservicename%は、セキュリティサービス名を表記しています。
解説
■侵入（インストレーション）について
このワームは、実行時に自身を次の場所にコピーします。
%system%\igfxpb32.exe
%userprofile%\cache\igfxpb32.exe
次のレジストリを登録します。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
SharedAccess\Parameters\FirewallPolicy\StandardProfile\
AuthorizedApplications\List]
"%system%\igfxpb32.exe" =
"%system%\igfxpb32.exe:*:Enabled:wLAN"
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\
SharedAccess\Parameters\FirewallPolicy\StandardProfile\
AuthorizedApplications\List]
"%userprofile%\cache\igfxpb32.exe" =
"%userprofile%\cache\igfxpb32.exe:*:Enabled:wLAN"
これにより、Windowsファイアウォールに例外が設定され、ワームによる通信が許可されます。
次のレジストリを登録します。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
"Disablenxshowui" = "%system%\igfxpb32.exe"
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers]
"Disablenxshowui" = "%userprofile%\cache\igfxpb32.exe"
これにより、指定されたファイルのData Execution Prevention（DEP）が無効にされます。
システムが起動するたびに実行されるよう、次のレジストリエントリを登録します。
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run]
"Intel Packet Service" = "%system%\igfxpb32.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Run]
"Intel Packet Service" =
"%userprofile%\cache\igfxpb32.exe"
次のプロセスに自身のプログラムコードを挿入して新たなスレッドを作成、実行します。
explorer.exe
インストール終了後、元の実行ファイルを削除します。
■感染について
このワームは、オペレーティングシステムの脆弱性を利用して感染を広げます。
利用するのはMS10-061の脆弱性です。この脆弱性の詳細については、印刷スプーラーサービスの脆弱性についての説明をご覧ください。
■IMネットワークを経由した感染について
このワームは、IMネットワークを介して感染を広げます。
次のプログラムが影響を受けます。
Skype
Aim
ICQ
Yahoo Messenger
Google Talk
MSN Messenger
Paltalk
XFire
マルウェアが仕掛けられたWebサイトへのリンクを介して感染を広げます。
■リムーバブルメディアへの感染について
次のフォルダを作成します。
%drive%\~TrashBin\
このフォルダは、Windows Explorer内で表示されないようにするため、システム（S）属性と隠し（H）属性が設定される場合があります。
自身を次のフォルダにコピーします。
%drive%\~TrashBin\
その際、次のファイル名を使用します。
t%variable%.exe
%variable%はランダムな数字です。
次の場所にファイルを作成します。
%drive%\Autorun.inf
これにより、感染メディアがコンピュータに挿入されるたびにワームが実行されるようになります。
■その他の情報
このワームはバックドアの機能を備えており、リモートからコントロールすることが可能です。
インターネットもしくは独自ネットワーク（ボットネット）のコンピュータからデータや次の行動についての命令を受け取ります。
次のアドレスへ接続します。
s11.ohbabycani.su
s4.ohbabycani.su
通信にはIRCプロトコルが使用されます。
次を実行します。
リモートのコンピュータもしくはインターネットからファイルをダウンロードする
実行ファイルを実行する
自身をバージョンアップする
IMネットワークを介して感染を広げる
特定のURLに接続する
名前に次の文字列のいずれかが含まれているプロセスを終了させます。
chgservice.exe
cmmon32.exe
drive32.exe
msvmiode.exe
recycler
rvhost.exe
serivces.exe
servicers.exe
svchos.exe
temp
tmp
undmgr.exe
uninstall_.exe
usbmngr.exe
wudfhost.exe
次のプログラムを終了させます。
BILLY.EXE
CATCHME.EXE
COMBOFIX.EXE
HIJACKTHIS.EXE
MBAMGUI.EXE
MPCMDRUN.EXE
MRT.EXE
MRTSTUB.EXE
MSASCUI.EXE
MSMPENG.EXE
TCPVIEW.EXE
TEATIMER.EXE
USBGUARD.EXE
さまざまなセキュリティソフトウェアを終了させます。
名前に次の文字列のいずれかが含まれているプロセスを探します。
prevx
k7rtscan
ashserv
avguard
vsserv
avg
nod32krn
ekrn
mcshield
mbamservice
savservice
smc
rtvscan
dwengine
drwebcom
spidernt
spysweeper
outpost
tmpfw
uiWatchDog.exe
kpf4
cmdagent
vsmon
sbpflnch
acs
次の命令を実行する場合があります。
CMD /C net stop %securityservicename%
CMD /C sc stop %securityservicename%
CMD /C sc config %securityservicename% start= disabled
CMD /C sc delete %securityservicename%
次のレジストリを設定する場合があります。
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\
SystemRestore]
"DisableConfig" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT]
"DontReportInfectionInformation" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusOverride" = 1
"AntiVirusDisableNotify" = 1
"FirewallOverride" = 1
"FirewallDisableNotify" = 1
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
wscsvc]
"Start" = 4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
SystemRestore]
"DisableSR" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\SuperHidden]
"CheckedValue" = 1
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced]
"Hidden" = 2
次のレジストリを削除する場合があります。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\
SafeBoot\Minimal]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\
SafeBoot\Network]
次の命令を実行する場合があります。
CMD /C del /F /S /Q "C:\ComboFix.txt"
CMD /C attrib -s -h "C:\ntldr"
CMD /C move \"C:\\ntldr\" \"C:\\dump\"
CMD /C del /F /S /Q "%windir%\system32\hal.dll"
CMD /C "shutdown -s"
|
