TROJ_COLAPEA.SMT

2012年10月13日

別名:

TrojanDropper:Win32/Colapea.A (Microsoft); Trojan Horse (Symantec); Trojan-Dropper.Win32.Delf.dok (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Trojan.Generic.1659248 (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ファイルを改変します。これにより、該当プログラムおよびアプリケーションが正しく実行されなくなります。

詳細

ファイルサイズ 441,856 bytes

タイプ EXE

メモリ常駐なし

発見日 2012年5月25日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のファイルを改変します。

%Windows%\pchealth\helpctr\binaries\HelpCtr.exe
%Windows%\pchealth\helpctr\binaries\HelpHost.exe
%Windows%\pchealth\helpctr\binaries\HelpSvc.exe
%Windows%\pchealth\helpctr\binaries\HscUpd.exe
%Windows%\pchealth\UploadLB\Binaries\UploadM.exe
%System%\accwiz.exe
%System%\dpvsetup.exe
%System%\driverquery.exe
%System%\mem.exe
%System%\migpwd.exe
%System%\mmc.exe
%System%\mnmsrvc.exe
%System%\rasautou.exe
%System%\rasdial.exe
%System%\shadow.exe
%System%\tsdiscon.exe
%Windows%\msagent\agentsvr.exe
%Windows%\pchealth\helpctr\binaries\helpctr.exe
%Windows%\pchealth\helpctr\binaries\helphost.exe
%Windows%\pchealth\helpctr\binaries\helpsvc.exe
%System%\fontview.exe
%System%\forcedos.exe
%System%\mobsync.exe
%System%\netsh.exe
%System%\netstat.exe
%System%\sndvol32.exe
%System%\sol.exe
%Windows%\explorer.exe
%Windows%\twunk_16.exe
%Windows%\twunk_32.exe
%Windows%\winhelp.exe
%Windows%\winhlp32.exe
%System%\actmovie.exe
%System%\ahui.exe
%System%\alg.exe
%System%\imapi.exe
%System%\mscdexnt.exe
%System%\msdtc.exe
%System%\msg.exe
%System%\notepad.exe
%System%\nslookup.exe
%System%\ntbackup.exe
%System%\ntkrnlpa.exe
%System%\osuninst.exe
%System%\packager.exe
%System%\pathping.exe
%System%\pentnt.exe
%System%\perfmon.exe
%System%\ping.exe
%System%\user.exe
%Windows%\Help\Tours\mmTour\tour.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のファイルを削除します。

bad184
bad6
bad196
bad103
bad168
bad186
bad33
bad128
bad113
bad8
bad187
bad51
bad136
bad120
bad115
bad109
bad189
bad111
bad181
bad170
bad164
bad165
bad160
bad149
bad139
bad123
bad108
bad82
bad77
bad71
bad56
bad25
bad125
bad110
bad100
bad194
bad179
bad74
bad158
bad53
bad147
bad117
bad155
bad39
bad29
bad13
bad116
bad176
%Temp%\scs1.tmp
%Temp%\scs2.tmp

(註：%Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)

作成活動

マルウェアは、以下のファイルを作成します。

%System Root%\vcredist_x86.exe
%Desktop%\WinPcap_4_1_2.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Desktop%フォルダは、Windows 98 および MEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\デスクトップ" です。 Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\デスクトップ"、Windows 2000、XP、Server 2003の場合は "C:\Documents and Settings\＜ユーザ名＞\デスクトップ" です。)

このウイルス情報は、自動解析システムにより作成されました。

対応方法

対応検索エンジン: 9.200

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%System Root%\vcredist_x86.exe
%Desktop%\WinPcap_4_1_2.exe

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_COLAPEA.SMT」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 4

以下のファイルをバックアップを用いて修復します。マイクロソフト製品に関連したファイルのみに修復されます。このマルウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

%Windows%\pchealth\helpctr\binaries\HelpCtr.exe
%Windows%\pchealth\helpctr\binaries\HelpHost.exe
%Windows%\pchealth\helpctr\binaries\HelpSvc.exe
%Windows%\pchealth\helpctr\binaries\HscUpd.exe
%Windows%\pchealth\UploadLB\Binaries\UploadM.exe
%System%\accwiz.exe
%System%\dpvsetup.exe
%System%\driverquery.exe
%System%\mem.exe
%System%\migpwd.exe
%System%\mmc.exe
%System%\mnmsrvc.exe
%System%\rasautou.exe
%System%\rasdial.exe
%System%\shadow.exe
%System%\tsdiscon.exe
%Windows%\msagent\agentsvr.exe
%Windows%\pchealth\helpctr\binaries\helpctr.exe
%Windows%\pchealth\helpctr\binaries\helphost.exe
%Windows%\pchealth\helpctr\binaries\helpsvc.exe
%System%\fontview.exe
%System%\forcedos.exe
%System%\mobsync.exe
%System%\netsh.exe
%System%\netstat.exe
%System%\sndvol32.exe
%System%\sol.exe
%Windows%\explorer.exe
%Windows%\twunk_16.exe
%Windows%\twunk_32.exe
%Windows%\winhelp.exe
%Windows%\winhlp32.exe
%System%\actmovie.exe
%System%\ahui.exe
%System%\alg.exe
%System%\imapi.exe
%System%\mscdexnt.exe
%System%\msdtc.exe
%System%\msg.exe
%System%\notepad.exe
%System%\nslookup.exe
%System%\ntbackup.exe
%System%\ntkrnlpa.exe
%System%\osuninst.exe
%System%\packager.exe
%System%\pathping.exe
%System%\pentnt.exe
%System%\perfmon.exe
%System%\ping.exe
%System%\user.exe
%Windows%\Help\Tours\mmTour\tour.exe

手順 5

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

bad184
bad6
bad196
bad103
bad168
bad186
bad33
bad128
bad113
bad8
bad187
bad51
bad136
bad120
bad115
bad109
bad189
bad111
bad181
bad170
bad164
bad165
bad160
bad149
bad139
bad123
bad108
bad82
bad77
bad71
bad56
bad25
bad125
bad110
bad100
bad194
bad179
bad74
bad158
bad53
bad147
bad117
bad155
bad39
bad29
bad13
bad116
bad176
%Temp%\scs1.tmp
%Temp%\scs2.tmp

ご利用はいかがでしたか？　アンケートにご協力ください