Trend Micro Security

PERL_DAVKIT.A

2012年10月8日
 解析者: Kathleen Notario   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータを再起動します。

  詳細

ファイルサイズ 11,046 bytes
タイプ Script
メモリ常駐 なし
発見日 2005年2月10日
ペイロード システムセキュリティへの感染活動

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Windows%\csscheat.bat
  • %Program Files%\sharex\xxx\xxxlist.bat
  • %Program Files%\sharex\crackz\css_xwallhack.bat

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %Program Files%は、標準設定では "C:\Program Files" です。)

マルウェアは、以下のフォルダを作成します。

  • %Program Files%\sharex\xxx
  • %Program Files%\sharex\crackz

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
vwin = %Windows%\%v%.bat

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
vwin = %Windows%\%v%.bat

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

  • C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\win.bat
  • C:\Documents and Settings\All Users\Start Menu\Programs\Startup\win.bat

他のシステム変更

マルウェアは、"WIN.INI" 内に以下の文字列を追加します。

  • [windows]
  • run=%windir%\%v%.bat
  • load=%windir%\%v%.bat

ファイル感染

マルウェアは、以下の拡張子のファイルを上書きします。

  • .bat
  • .txt
  • .doc
  • .exe
  • .ini
  • .cfg

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

  • norton
  • av
  • fire
  • anti
  • spy
  • bullguard
  • PersFw
  • KAV
  • ZONEALARM
  • SAFEWEB
  • OUTPOST
  • nv
  • nav
  • F-
  • ESAFE
  • cle
  • BLACKICE
  • def

HOSTSファイルの改変

マルウェアは、WindowsのHOSTSファイルに以下の文字列を追加します。

  • 127.0.0.1 www.google.com
  • 127.0.0.1 www.google.de
  • 127.0.0.1 www.symantec.de
  • 127.0.0.1 www.free-av.de
  • 127.0.0.1 www.free-av.com
  • 127.0.0.1 www.antivir.de
  • 127.0.0.1 www.antivir.com
  • 127.0.0.1 www.kaspersky.com
  • 127.0.0.1 www.kaspersky.de
  • 127.0.0.1 www.microsoft.com
  • 127.0.0.1 www.microsoft.de
  • 127.0.0.1 www.sophos.com
  • 127.0.0.1 www.sophos.de
  • 127.0.0.1 www.symantec.com
  • 127.0.0.1 www.hijackthis.de
  • 127.0.0.1 www.spychecker.com
  • 127.0.0.1 www.trendmicro.com
  • 127.0.0.1 www.trendmicro.de
  • 127.0.0.1 www.lavasoftusa.com
  • 127.0.0.1 www.yahoo.com
  • 127.0.0.1 www.yahoo.de
  • 127.0.0.1 www.lycos.com
  • 127.0.0.1 www.lycos.de

その他

マルウェアは、感染コンピュータを再起動します。

  対応方法

対応検索エンジン: 8.900
VSAPI パターンファイル: 2.402.00
VSAPI パターンリリース日: 2005年2月10日
VSAPI パターンリリース日: 2/10/2005 12:00:00 AM

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    • vwin = %Windows%\%v%.bat
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • vwin = %Windows%\%v%.bat

手順 3

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  %Program Files%\sharex\xxx
%Program Files%\sharex\crackz

手順 4

不正プログラム/グレイウェア/スパイウェアがHOSTSファイルに追加した文字列を削除します。

[ 詳細 ]
    127.0.0.1 www.google.com
    127.0.0.1 www.google.de
    127.0.0.1 www.symantec.de
    127.0.0.1 www.free-av.de
    127.0.0.1 www.free-av.com
    127.0.0.1 www.antivir.de
    127.0.0.1 www.antivir.com
    127.0.0.1 www.kaspersky.com
    127.0.0.1 www.kaspersky.de
    127.0.0.1 www.microsoft.com
    127.0.0.1 www.microsoft.de
    127.0.0.1 www.sophos.com
    127.0.0.1 www.sophos.de
    127.0.0.1 www.symantec.com
    127.0.0.1 www.hijackthis.de
    127.0.0.1 www.spychecker.com
    127.0.0.1 www.trendmicro.com
    127.0.0.1 www.trendmicro.de
    127.0.0.1 www.lavasoftusa.com
    127.0.0.1 www.yahoo.com
    127.0.0.1 www.yahoo.de
    127.0.0.1 www.lycos.com
    127.0.0.1 www.lycos.de

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PERL_DAVKIT.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

以下のファイルをバックアップを用いて修復します。マイクロソフト製品に関連したファイルのみに修復されます。このマルウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。


ご利用はいかがでしたか？　アンケートにご協力ください