Trend Micro Security

PE_SALITY.L

2013年6月18日
 別名:

Virus:Win32/Krepper.30760 (Microsoft); W32/Sality.gen (McAfee); W32.Sality (Symantec); Virus.Win32.Krepper.30760 (Kaspersky); Virus.Win32.Krepper.30760 (v) (Sunbelt); Trojan.Generic.7430192 (FSecure)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 感染確認数:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 129,720 bytes
タイプ EXE
メモリ常駐 なし
発見日 2012年9月26日

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System Root%\d95ff5470ecf117f4868e137c527a55b1099f8f7_069ea317d1e733e530433b6ee952f~01

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

他のシステム変更

ウイルスは、以下のファイルを削除します。

  • %System Root%\d95ff5470ecf117f4868e137c527a55b1099f8f7_069ea317d1e733e530433b6ee952f~01
  • %System Root%\CIM

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

作成活動

ウイルスは、以下のファイルを作成します。

  • %System%\SYSLIB32.DLL
  • %User Profile%\{AC76BA86-7AD7-1033-7B44-AA0000000001}\SETUP.RCM
  • %Program Files%\ADOBE\READER 10.0\READER\ACROBROKER.OFI
  • %Program Files%\ADOBE\READER 10.0\READER\ACRORD32.RER
  • %Program Files%\ADOBE\READER 10.0\READER\ACROTEXTEXTRACTOR.DNP
  • %Program Files%\ADOBE\READER 10.0\READER\ADOBECOLLABSYNC.HCO
  • %Program Files%\ADOBE\READER 10.0\READER\EULA.MBB
  • %Program Files%\COMMON FILES\ADOBE\ARM\1.0\ACROBATUPDATER.PGM
  • %Program Files%\COMMON FILES\ADOBE\ARM\1.0\ADOBEARM.EDJ
  • %Program Files%\COMMON FILES\ADOBE\ARM\1.0\READERUPDATER.FRO
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\DW\DW20.AOH
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\DW\DWTRIG20.OIG
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\MSINFO\MSINFO32.TQO
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\SPEECH\SAPISVR.STL
  • %Program Files%\INTERNET EXPLORER\CONNECTION WIZARD\ICWCONN1.GEJ
  • %Program Files%\INTERNET EXPLORER\CONNECTION WIZARD\ICWCONN2.HGP
  • %Program Files%\INTERNET EXPLORER\CONNECTION WIZARD\ICWTUTOR.LPD
  • %Program Files%\MESSENGER\MSMSGS.GMH
  • %Program Files%\MOVIE MAKER\MOVIEMK.ALR
  • %Program Files%\MSN\MSNCOREFILES\INSTALL\MSN9COMPONENTS\DIGCORE.BPH
  • %Program Files%\MSN\MSNCOREFILES\INSTALL\MSNSUSII.SRC
  • %Program Files%\MSN GAMING ZONE\WINDOWS\BCKGZM.QKQ
  • %Program Files%\MSN GAMING ZONE\WINDOWS\CHKRZM.JEF
  • %Program Files%\MSN GAMING ZONE\WINDOWS\HRTZZM.CSO
  • %Program Files%\MSN GAMING ZONE\WINDOWS\RVSEZM.PND
  • %Program Files%\MSN GAMING ZONE\WINDOWS\SHVLZM.SBC
  • %Program Files%\NETMEETING\CONF.KHL
  • %Program Files%\OUTLOOK EXPRESS\MSIMN.NJF
  • %Program Files%\OUTLOOK EXPRESS\OEMIG50.HDD
  • %Program Files%\OUTLOOK EXPRESS\SETUP50.KMC
  • %Program Files%\OUTLOOK EXPRESS\WAB.BRC
  • %Program Files%\WINDOWS MEDIA PLAYER\MIGRATE.SDQ
  • %Program Files%\WINDOWS MEDIA PLAYER\SETUP_WM.HLM
  • %Program Files%\WINDOWS MEDIA PLAYER\WMPLAYER.RTH
  • %Program Files%\WINDOWS NT\ACCESSORIES\WORDPAD.PCO
  • %Program Files%\WINDOWS NT\DIALER.HKJ
  • %Program Files%\WINDOWS NT\PINBALL\PINBALL.GPC
  • %Program Files%\WINPCAP\RPCAPD.OGF
  • %Program Files%\WINPCAP\UNINSTALL.AGC
  • %Windows%\$MSI31UNINSTALL_KB893803V2$\MSIEXEC.HOJ
  • %Windows%\$MSI31UNINSTALL_KB893803V2$\SPUNINST\SPUNINST.BIH
  • %Windows%\$NTUNINSTALLWIC$\SPUNINST\SPUNINST.CLD
  • %Windows%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\COMSVCCONFIG\BB3C2F59A821ABC54F420F3A9E051D6A\COMSVCCONFIG.NI.NIK
  • %Windows%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MSBUILD\AA99EBDD26E5D493FEC18B1714458782\MSBUILD.NI.BFP
  • %Windows%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\PRESENTATIONFONTCAC#\4CE7FD62D4107FBE996AB305EB21EE6A\PRESENTATIONFONTCACHE.NI.DDM

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.200

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System%\SYSLIB32.DLL
  • %User Profile%\{AC76BA86-7AD7-1033-7B44-AA0000000001}\SETUP.RCM
  • %Program Files%\ADOBE\READER 10.0\READER\ACROBROKER.OFI
  • %Program Files%\ADOBE\READER 10.0\READER\ACRORD32.RER
  • %Program Files%\ADOBE\READER 10.0\READER\ACROTEXTEXTRACTOR.DNP
  • %Program Files%\ADOBE\READER 10.0\READER\ADOBECOLLABSYNC.HCO
  • %Program Files%\ADOBE\READER 10.0\READER\EULA.MBB
  • %Program Files%\COMMON FILES\ADOBE\ARM\1.0\ACROBATUPDATER.PGM
  • %Program Files%\COMMON FILES\ADOBE\ARM\1.0\ADOBEARM.EDJ
  • %Program Files%\COMMON FILES\ADOBE\ARM\1.0\READERUPDATER.FRO
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\DW\DW20.AOH
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\DW\DWTRIG20.OIG
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\MSINFO\MSINFO32.TQO
  • %Program Files%\COMMON FILES\MICROSOFT SHARED\SPEECH\SAPISVR.STL
  • %Program Files%\INTERNET EXPLORER\CONNECTION WIZARD\ICWCONN1.GEJ
  • %Program Files%\INTERNET EXPLORER\CONNECTION WIZARD\ICWCONN2.HGP
  • %Program Files%\INTERNET EXPLORER\CONNECTION WIZARD\ICWTUTOR.LPD
  • %Program Files%\MESSENGER\MSMSGS.GMH
  • %Program Files%\MOVIE MAKER\MOVIEMK.ALR
  • %Program Files%\MSN\MSNCOREFILES\INSTALL\MSN9COMPONENTS\DIGCORE.BPH
  • %Program Files%\MSN\MSNCOREFILES\INSTALL\MSNSUSII.SRC
  • %Program Files%\MSN GAMING ZONE\WINDOWS\BCKGZM.QKQ
  • %Program Files%\MSN GAMING ZONE\WINDOWS\CHKRZM.JEF
  • %Program Files%\MSN GAMING ZONE\WINDOWS\HRTZZM.CSO
  • %Program Files%\MSN GAMING ZONE\WINDOWS\RVSEZM.PND
  • %Program Files%\MSN GAMING ZONE\WINDOWS\SHVLZM.SBC
  • %Program Files%\NETMEETING\CONF.KHL
  • %Program Files%\OUTLOOK EXPRESS\MSIMN.NJF
  • %Program Files%\OUTLOOK EXPRESS\OEMIG50.HDD
  • %Program Files%\OUTLOOK EXPRESS\SETUP50.KMC
  • %Program Files%\OUTLOOK EXPRESS\WAB.BRC
  • %Program Files%\WINDOWS MEDIA PLAYER\MIGRATE.SDQ
  • %Program Files%\WINDOWS MEDIA PLAYER\SETUP_WM.HLM
  • %Program Files%\WINDOWS MEDIA PLAYER\WMPLAYER.RTH
  • %Program Files%\WINDOWS NT\ACCESSORIES\WORDPAD.PCO
  • %Program Files%\WINDOWS NT\DIALER.HKJ
  • %Program Files%\WINDOWS NT\PINBALL\PINBALL.GPC
  • %Program Files%\WINPCAP\RPCAPD.OGF
  • %Program Files%\WINPCAP\UNINSTALL.AGC
  • %Windows%\$MSI31UNINSTALL_KB893803V2$\MSIEXEC.HOJ
  • %Windows%\$MSI31UNINSTALL_KB893803V2$\SPUNINST\SPUNINST.BIH
  • %Windows%\$NTUNINSTALLWIC$\SPUNINST\SPUNINST.CLD
  • %Windows%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\COMSVCCONFIG\BB3C2F59A821ABC54F420F3A9E051D6A\COMSVCCONFIG.NI.NIK
  • %Windows%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\MSBUILD\AA99EBDD26E5D493FEC18B1714458782\MSBUILD.NI.BFP
  • %Windows%\ASSEMBLY\NATIVEIMAGES_V2.0.50727_32\PRESENTATIONFONTCAC#\4CE7FD62D4107FBE996AB305EB21EE6A\PRESENTATIONFONTCACHE.NI.DDM

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_SALITY.L」と検出したファイルの駆除を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 4

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %System Root%\d95ff5470ecf117f4868e137c527a55b1099f8f7_069ea317d1e733e530433b6ee952f~01
  • %System Root%\CIM


ご利用はいかがでしたか？　アンケートにご協力ください