Trend Micro Security

TROJ_AGENT.BCAK

2012年10月9日
 解析者: Cris Nowell Pantanilla   
 更新者 : Christopher Daniel So
 プラットフォーム:

Windows 2000,Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、他のファイルを作成する機能を備えていません。

  詳細

ファイルサイズ 不定
タイプ EXE
メモリ常駐 はい
発見日 2012年4月18日
ペイロード ファイルの削除, ファイルのダウンロード

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • 320111223
  • 820111118

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

  • avp.exe

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %User Profile%\Application Data\Sun\Java\jre2.5.8\automngr.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\ctfmon.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup1.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup2.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup3.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\dmaup4.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\rstimgr.dll
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\rstimgr.inf
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\smcnmgr.exe
  • %User Profile%\Application Data\Sun\Java\jre2.5.8\winmsgr.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

作成活動

マルウェアは、他のファイルを作成する機能を備えていません。

その他

削除されるファイルは、マルウェアパッケージ内の他のコンポーネントのファイル名です。

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://＜省略＞col.info/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞acy.＜省略＞t.us/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞at.＜省略＞f.com/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞surance.＜省略＞ce.com/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞tic.＜省略＞networks.com/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞my.＜省略＞2.com/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞rts.＜省略＞t.us/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞y.＜省略＞andhost.com/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞ne.＜省略＞ce.com/bin/read_i.php?＜ランダムなデータ＞
  • http://＜省略＞updates.com/bin/read_i.php?＜ランダムなデータ＞

＜ランダムなデータ＞は、感染コンピュータの以下のシステム情報を暗号化したデータを含みます。

  • プロセッサ情報
  • 現在のコードページ
  • Windows OSの種類
  • コンピュータ名
  • ユーザ名
  • USBポートの数
  • IPアドレス
  • MACアドレス

マルウェアは、このWebサイトからファイルをダウンロードします。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

  対応方法

対応検索エンジン: 9.200
初回 VSAPI パターンバージョン 8.918.07
初回 VSAPI パターンリリース日 2012年4月18日
VSAPI OPR パターンバージョン 8.919.00
VSAPI OPR パターンリリース日 2012年4月18日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_AGENT.BCAK」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_AGENT.BCAK」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください

関連マルウェア