Trend Micro Security

TROJ_AGENT.BCAK

2012年10月9日
 解析者: Cris Nowell Pantanilla   
 更新者 : Christopher Daniel So

 プラットフォーム:

Windows 2000,Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、他のファイルを作成する機能を備えていません。


  詳細

ファイルサイズ 不定
タイプ EXE
メモリ常駐 はい
発見日 2012年4月18日
ペイロード ファイルの削除, ファイルのダウンロード

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • 320111223
  • 820111118

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

  • avp.exe

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %User Profile%\Application Data\Sun\Java\jre2.5.8\automngr.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\ctfmon.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup1.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup2.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup3.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup4.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\rstimgr.dll
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\rstimgr.inf
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\smcnmgr.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\winmsgr.exe

(註:%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>"、Windows NTでは、"C:\WINNT\Profiles\<ユーザ名>"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\<ユーザ名>" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

作成活動

マルウェアは、他のファイルを作成する機能を備えていません。

その他

削除されるファイルは、マルウェアパッケージ内の他のコンポーネントのファイル名です。

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://<省略>col.info/bin/read_i.php?<ランダムなデータ>
  • http://<省略>acy.<省略>t.us/bin/read_i.php?<ランダムなデータ>
  • http://<省略>at.<省略>f.com/bin/read_i.php?<ランダムなデータ>
  • http://<省略>surance.<省略>ce.com/bin/read_i.php?<ランダムなデータ>
  • http://<省略>tic.<省略>networks.com/bin/read_i.php?<ランダムなデータ>
  • http://<省略>my.<省略>2.com/bin/read_i.php?<ランダムなデータ>
  • http://<省略>rts.<省略>t.us/bin/read_i.php?<ランダムなデータ>
  • http://<省略>y.<省略>andhost.com/bin/read_i.php?<ランダムなデータ>
  • http://<省略>ne.<省略>ce.com/bin/read_i.php?<ランダムなデータ>
  • http://<省略>updates.com/bin/read_i.php?<ランダムなデータ>

<ランダムなデータ>は、感染コンピュータの以下のシステム情報を暗号化したデータを含みます。

  • プロセッサ情報
  • 現在のコードページ
  • Windows OSの種類
  • コンピュータ名
  • ユーザ名
  • USBポートの数
  • IPアドレス
  • MACアドレス

マルウェアは、このWebサイトからファイルをダウンロードします。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。


  対応方法

対応検索エンジン: 9.200
初回 VSAPI パターンバージョン 8.918.07
初回 VSAPI パターンリリース日 2012年4月18日
VSAPI OPR パターンバージョン 8.919.00
VSAPI OPR パターンリリース日 2012年4月18日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_AGENT.BCAK」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_AGENT.BCAK」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください

関連マルウェア