TROJ_VIKNOK.AE

2014年2月5日

解析者: Mark Joseph Manahan

別名:

Trojan horse Generic_r.DKQ (AVG) ,W32/Daws.CAKY!tr (Fortinet) ,Trojan-Dropper.Win32.Daws (Ikarus) ,Trojan-Dropper.Win32.Daws.caky (Kaspersky) ,Win32/Viknok.F trojan (Eset) ,Trojan.Adclicker (Symantec) ,Trj/dtcontx.J (Panda) ,Trojan.Win32.Generic!BT (Sunbelt)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 121,344 bytes

タイプ EXE

メモリ常駐はい

発見日 2014年1月29日

ペイロード URLまたはIPアドレスに接続, ファイルの作成, ファイルの変更

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%System%\{random filename}.{random extension} - encrypted malware

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

他のシステム変更

マルウェアは、以下のファイルを改変します。

%System%\rpcss.dll - detected as PTCH_ZEKOS.SM
%System%\dllcache\rpcss.dl - detected as PTCH_ZEKOS.SM

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

http://{BLOCKED}-walk.org/load.php?id={no.}&p={no.}&t={no.}&e={no.}
http://{BLOCKED}-gamma.net/load.php?id={no.}&p={no.}&t={no.}&e={no.}
http://{BLOCKED}to-step1.com/load.php?id={no.}&p={no.}&t={no.}&e={no.}

対応方法

対応検索エンジン: 9.700

初回 VSAPI パターンバージョン 10.570.03

初回 VSAPI パターンリリース日 2014年1月29日

VSAPI OPR パターンバージョン 10.571.00

VSAPI OPR パターンリリース日 2014年1月29日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_VIKNOK.AE」が作成またはダウンロードした不正なファイルを削除します。

PTCH_ZEKOS.SM

手順 3

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_VIKNOK.AE」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください