Trend Micro Security

PE_DETNAT.F

2013年10月8日
 別名:

Virus:Win32/Detnat.A (Microsoft); W32/Detnat.f (McAfee); W32.Detnat.F (Symantec); Worm.Win32.Detnat.d (Kaspersky); Worm/Detnat.D (AVG)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 感染確認数:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 734,872 bytes
タイプ EXE
メモリ常駐 なし
発見日 2013年7月17日

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のフォルダを作成します。

  • %System Root%\Recycled
  • %User Profile%\Application Data\Adobe
  • %User Profile%\Adobe\Acrobat
  • %User Profile%\Acrobat\8.0
  • %User Profile%\8.0\Synchronizer
  • %User Profile%\Synchronizer\metadata

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

他のシステム変更

ウイルスは、以下のファイルを削除します。

  • %System Root%\Recycled\SVCH0ST.exe
  • %Program Files%\Common Files\Adobe\ARM\1.0\AcrobatUpdater.exe
  • %Program Files%\Common Files\Adobe\ARM\1.0\AdobeARM.exe
  • %Program Files%\Common Files\Adobe\ARM\1.0\ReaderUpdater.exe
  • %Program Files%\Common Files\Microsoft Shared\DW\DW20.EXE
  • %Program Files%\Common Files\Microsoft Shared\DW\DWTRIG20.EXE
  • %Program Files%\Common Files\Microsoft Shared\MSInfo\msinfo32.exe
  • %Program Files%\Common Files\Microsoft Shared\Speech\sapisvr.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwconn1.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwconn2.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwrmind.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwtutor.exe
  • %Program Files%\Internet Explorer\Connection Wizard\inetwiz.exe
  • %Program Files%\Internet Explorer\Connection Wizard\isignup.exe
  • %Program Files%\Internet Explorer\iedw.exe
  • %Program Files%\Messenger\msmsgs.exe
  • %Program Files%\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe
  • %Program Files%\MSN\MSNCoreFiles\Install\msnsusii.exe
  • %Program Files%\MSN Gaming Zone\Windows\bckgzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\chkrzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\hrtzzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\Rvsezm.exe
  • %Program Files%\MSN Gaming Zone\Windows\shvlzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\zClientm.exe
  • %Program Files%\NetMeeting\conf.exe
  • %Program Files%\Outlook Express\msimn.exe
  • %Program Files%\Outlook Express\oemig50.exe
  • %Program Files%\Outlook Express\setup50.exe
  • %Program Files%\Outlook Express\wab.exe
  • %Program Files%\Outlook Express\wabmig.exe
  • %Program Files%\Windows Media Player\migrate.exe
  • %Program Files%\Windows Media Player\setup_wm.exe
  • %Program Files%\Windows Media Player\wmplayer.exe
  • %Program Files%\Windows NT\Accessories\wordpad.exe
  • %Program Files%\Windows NT\dialer.exe
  • %Program Files%\Windows NT\hypertrm.exe
  • %Program Files%\Windows NT\Pinball\PINBALL.EXE

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

作成活動

ウイルスは、以下のファイルを作成します。

  • %User Profile%\{AC76BA86-7AD7-1033-7B44-AA0000000001}\setup.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroBroker.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroRd32.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroRd32Info.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroTextExtractor.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AdobeCollabSync.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\Eula.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\PDFPrevHndlrShim.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\reader_sl.exe
  • %Program Files%\WinPcap\Uninstall.exe
  • %User Profile%\Synchronizer\adobesynchronizersu80-journal
  • %User Profile%\metadata\Synchronizer80-journal
  • %User Temp%\sqlite_UG07WuEoycGMk40
  • %User Temp%\net.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

  • http://www.{BLOCKED}er.com.tw/img/_home/T1/111.wos
  • http://www.{BLOCKED}er.com.tw/img/_home/T2/222.wos
  • http://www.{BLOCKED}er.com.tw/img/_home/T3/333.wos

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.300

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Profile%\{AC76BA86-7AD7-1033-7B44-AA0000000001}\setup.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroBroker.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroRd32.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroRd32Info.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AcroTextExtractor.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\AdobeCollabSync.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\Eula.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\PDFPrevHndlrShim.exe
  • %Program Files%\Adobe\Reader 10.0\Reader\reader_sl.exe
  • %Program Files%\WinPcap\Uninstall.exe
  • %User Profile%\Synchronizer\adobesynchronizersu80-journal
  • %User Profile%\metadata\Synchronizer80-journal
  • %User Temp%\sqlite_UG07WuEoycGMk40
  • %User Temp%\net.tmp

手順 3

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\Recycled
  • %User Profile%\Application Data\Adobe
  • %User Profile%\Adobe\Acrobat
  • %User Profile%\Acrobat\8.0
  • %User Profile%\8.0\Synchronizer
  • %User Profile%\Synchronizer\metadata

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_DETNAT.F」と検出したファイルの駆除を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 5

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %System Root%\Recycled\SVCH0ST.exe
  • %Program Files%\Common Files\Adobe\ARM\1.0\AcrobatUpdater.exe
  • %Program Files%\Common Files\Adobe\ARM\1.0\AdobeARM.exe
  • %Program Files%\Common Files\Adobe\ARM\1.0\ReaderUpdater.exe
  • %Program Files%\Common Files\Microsoft Shared\DW\DW20.EXE
  • %Program Files%\Common Files\Microsoft Shared\DW\DWTRIG20.EXE
  • %Program Files%\Common Files\Microsoft Shared\MSInfo\msinfo32.exe
  • %Program Files%\Common Files\Microsoft Shared\Speech\sapisvr.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwconn1.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwconn2.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwrmind.exe
  • %Program Files%\Internet Explorer\Connection Wizard\icwtutor.exe
  • %Program Files%\Internet Explorer\Connection Wizard\inetwiz.exe
  • %Program Files%\Internet Explorer\Connection Wizard\isignup.exe
  • %Program Files%\Internet Explorer\iedw.exe
  • %Program Files%\Messenger\msmsgs.exe
  • %Program Files%\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe
  • %Program Files%\MSN\MSNCoreFiles\Install\msnsusii.exe
  • %Program Files%\MSN Gaming Zone\Windows\bckgzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\chkrzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\hrtzzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\Rvsezm.exe
  • %Program Files%\MSN Gaming Zone\Windows\shvlzm.exe
  • %Program Files%\MSN Gaming Zone\Windows\zClientm.exe
  • %Program Files%\NetMeeting\conf.exe
  • %Program Files%\Outlook Express\msimn.exe
  • %Program Files%\Outlook Express\oemig50.exe
  • %Program Files%\Outlook Express\setup50.exe
  • %Program Files%\Outlook Express\wab.exe
  • %Program Files%\Outlook Express\wabmig.exe
  • %Program Files%\Windows Media Player\migrate.exe
  • %Program Files%\Windows Media Player\setup_wm.exe
  • %Program Files%\Windows Media Player\wmplayer.exe
  • %Program Files%\Windows NT\Accessories\wordpad.exe
  • %Program Files%\Windows NT\dialer.exe
  • %Program Files%\Windows NT\hypertrm.exe
  • %Program Files%\Windows NT\Pinball\PINBALL.EXE


ご利用はいかがでしたか？　アンケートにご協力ください