WORM_IRCBOT.ABB
Windows 2000, XP, Server 2003
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
マルウェアは、ランダムにポートを開き、不正リモートユーザが感染コンピュータに接続できるようにします。接続されると、不正リモートユーザは、感染コンピュータ上でのコマンド実行が可能となります。 マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。
詳細
侵入方法
マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。
マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Windows%\cfdrive32.exe
(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)
マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- jnd282ddrn2fcs
- a2rnn2cnddc2dcs
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Microsoft Driver Setup = %Windows%\cfdrive32.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Driver Setup = %Windows%\cfdrive32.exe
他のシステム変更
マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{Malware Path and File Name} = "{Malware Path and File Name}:*:%Windows%\cfdrive32.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0
感染活動
マルウェアは、以下のインスタントメッセンジャ（IM）を用いて標的とする受信者に自身のコピーを送信します。
- MSN
バックドア活動
マルウェアは、以下のいずれかのIRCサーバに接続します。
- ms4all.twoplayers.net
マルウェアは、ランダムにポートを開き、不正リモートユーザが感染コンピュータ上にアクセスするのを可能にします。接続されると、不正リモートユーザは、感染コンピュータ上でコマンドを実行します。
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- r.getfile
- r.new
- r.update
- r.upd4te
- login
- threads
- logout
- rmzerm3b1tch
- download
- update
- advscan
プロセスの終了
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- VIPRE.EXE
- ISSDM_EN_32.EXE
- P08PROMO.EXE
- K7TS_SETUP.EXE
- AVINSTALL.EXE
- WITSETUP.EXE
- TrendMicro_TISPro_16.1_1063_x32.EXE
- VBA32-PERSONAL-LATEST-ENGLISH.EXE
- CCSETUP210.EXE
- FSMB32.EXE
- FSGK32.EXE
- FSAV95.EXE
- FSAV530WTBYB.EXE
- FSAV530STBYB.EXE
- FSAV32.EXE
- FSAV.EXE
- FSAA.EXE
- FPROT.EXE
- FP-WIN.EXE
- FNRB32.EXE
- FIH32.EXE
- FCH32.EXE
- FAST.EXE
- FAMEH32.EXE
- F-STOPW.EXE
- F-PROT95.EXE
- F-PROT.EXE
- AFMAIN.EXE
- SPIDERUI.EXE
- SPIDERNT.EXE
- ALERTMAN.EXE
- RAVMOND.EXE
- MAKEREPORT.EXE
- BOXMOD.EXE
- 360SAFE.EXE
- 360RPT.EXE
- 360HOTFIX.EXE
- 360TRAY.EXE
- NSVMON.NPC
- NSAVSVC.NPC
- NPCGREENAGENT.NPC
- PUSCAN.EXE
- AYSERVICENT.AYE
- AYAGENT.AYE
- CMDAGENT.EXE
- CPF.EXE
- VSMON.EXE
- ZLCLIENT.EXE
- NSUTILITY.EXE
- NSPUPDT.EXE
- NAVQSCAN.EXE
- NSPMAIN.EXE
- NSPUPSVC.EXE
- NSPSVC.EXE
- MKSADMINCONSOLE.EXE
- MKSUPDATE.EXE
- MKSPC.EXE
- MKSFWALL.EXE
- MKSVIRMONSVC.EXE
- MKS_SCAN.EXE
- MKS_MAIL.EXE
- MKSREGMON.EXE
- KAVPFW.EXE
- KASMAIN.EXE
- KAV32.EXE
- KPFWSVC.EXE
- KISSVC.EXE
- KWATCH.EXE
- KPFW32.EXE
- KAVSTART.EXE
- KVSRVXP.EXE
- KVOL.EXE
- KVXP.KXP
- KVMONXP.KXP
- CAVASM.EXE
- CMAIN.EXE
- ARCABIT.CORE.LOGGINGSERVICE.EXE
- ARCABIT.CORE.CONFIGURATOR2.EXE
- TASKSCHEDULER.EXE
- UPDATE.EXE
- NETMONSV.EXE
- FILEMONSV.EXE
- ABREGMON.EXE.EXE
- ARCACHECK.EXE
- ARCAVIR.EXE
- AVMENU.EXE
- A2HIJACKFREE.EXE
- A2SERVICE.EXE
- A2START.EXE
- A2SCAN.EXE
- A2GUARD.EXE
- VRFWSVC.EXE
- HFACSVC.EXE
- VRMONSVC.EXE
- HPCSVC.EXE
- HSVCMOD.EXE
- VRMONNT.EXE
- MKSTRAY.EXE
- VBA32ADS.EXE
- VBA32LDR.EXE
- FILELOCKSETUP.EXE
- TSCFCOMMANDER.EXE
- TMPROXY.EXE
- TMPFW.EXE
- TMBMSRV.EXE
- UFNAVI.EXE
- UFSEAGNT.EXE
- TISSPWIZ.EXE
- SFCTLCOM.EXE
- TNBUTIL.EXE
- DEFWATCH.EXE
- RTVSCAN.EXE
- SBAMSVC.EXE
- SBAMUI.EXE
- SBAMTRAY.EXE
- SAVADMINSERVICE.EXE
- SAVSERVICE.EXE
- SCFSERVICE.EXE
- SCFMANAGER.EXE
- RAVTASK.EXE
- CCENTER.EXE
- ULIBCFG.EXE
- RAVLITE.EXE
- PCTAV.EXEPCTAVSVC.EXEPXCONSOLE.EXEPXAGENT.EXERAV.EXE
- PCTSAUXS.EXE
- PCTSTRAY.EXE
- PCTSSVC.EXE
- PCTSGUI.EXE
- AVGAS.EXE
- PAVBCKPT.EXE
- WEBPROXY.EXE
- PAVSRV51.EXESRVLOAD.EXE
- PSIMSVC.EXE
- PSHOST.EXE
- AVENGINE.EXE
- PSKMSSVC.EXE
- PAVPRSRV.EXE
- PAVFNSVR.EXE
- PSCTRLS.EXE
- TPSRV.EXE
- NOD32M2.EXE
- NOD32CC.EXE
- NOD32.EXE
- NMAIN.EXE
- NOD32KUI.EXE
- MSASCUI.EXE
- MSMPENG.EXE
- MCUPDATE.EXE
- MCSHIELD.EXE
- MCVSSHLD.EXE
- MCVSRTE.EXE
- MCAGENT.EXE
- KAVSVC.EXE
- KAV.EXE
- K7TSMNGR.EXE
- K7SPMSRC.EXE
- K7RTSCAN.EXE
- K7PSSRVC.EXE
- K7FWSRVC.EXE
- K7EMLPXY.EXE
- K7TSECURITY.EXE
- K7SYSTRY.EXE
- VIRUSUTILITIES.EXE
- GUARDXSERVICE.EXE
- GUARDXKICKOFF.EXE
- AVKWCTL.EXE
- AVKTUNERSERVICE.EXE
- AVKSERVICE.EXE
- GDFWSVC.EXE
- AVKPROXY.EXE
- GDFIRE~1.EXE
- AVKTRAY.EXE
- GDFIREWALLTRAY.EXE
- FSAUA.EXE
- NOD32KRN.EXE
- FSMA32.EXE
- FSDFWD.EXE
- FSGK32ST.EXE
- FSM32.EXE
- FPWIN.EXE
- FPAVSERVER.EXE
- FPROTTRAY.EXE
- INICIO.EXE
- UMXPOL.EXE
- UMXFWHLP.EXE
- UMXAGENT.EXE
- UMXCFG.EXE
- PPCLTPRIV.EXE
- SVCPRS32.EXE
- ITMRTSVC.EXE
- CCPROVSP.EXE
- MDMCLS32.EXE
- CAGLOBALLIGHT.EXE
- CAPFUPGRADE.EXE
- CAPFASEM.EXE
- CAFW.EXE
- CFGMNG32.EXE
- CCTRAY.EXE
- CLAMTRAY.EXE
- CLAMWIN.EXE
- ALSVC.EXE
- ALMON.EXE
- DRWEBSCD.EXE
- SPIDERML.EXE
- DRWEB32W.EXE
- ACS.EXE
- STRTSVC.EXE
- OP_MON.EXE
- SENSOR.EXE
- QHFW332.EXE
- CATEYE.EXE
- ONLNSVC.EXE
- EMLPROUI.EXE
- UPSCHD.EXE
- SCANMSG.EXE
- SCANWSCS.EXE
- EMLPROXY.EXE
- ONLINENT.EXE
- ASWCLNR.EXE
- BDAGENT.EXE
- VSSERV.EXE
- LIVESRV.EXE
- XCOMMSVR.EXE
- UISCAN.EXE
- BDSS.EXE
- AVGUI.EXE
- AVGUPD.EXE
- AVGSCANX.EXE
- AVGEMC.EXE
- AVGUPSVC.EXE
- AVGAMSVR.EXE
- AVGWDSVC.EXE
- ASHWEBSV.EXE
- ASHMAISV.EXE
- ASWUPDSV.EXE
- ASHSERV.EXE
- ASHDISP.EXE
- AVCENTER.EXE
- SCHED.EXE
- AVIRARKD.EXE
- AVGNT.EXE
- AVGUARD.EXE
- AHNSDSV.EXE
- ACAIS.EXE
- ACALS.EXE
- ACAEGMGR.EXE
- ACAAS.EXE
- QOELOADER.EXE
- APVXDWIN.EXE
- QUHLPSVC.EXE
- 123.EXE
- RAVP.EXEMBAM.EXE123.COM
- UNLOCKER1.8.7.EXE
- UNIEXTRACT.EXE
- SYSANALYZER_SETUP.EXE
- STARTDRECK.EXE
- SPF.EXE
- REGX2.EXE
- REGSHOT.EXE
- REGSCANNER.EXE
- REGISTRAR_LITE.EXE
- REGCOOL.EXE
- REGALYZ.EXE
- PROJECTWHOISINSTALLER.EXE
- PROCMON.EXE
- CUREIT.EXE
- FIXBAGLE.EXE
- PGSETUP.EXE
- OBJMONSETUP.EXE
- NETALYZ.EXE
- KILLBOX.EXE
- INSTALLWATCHPRO25.EXE
- AVENGER.EXE
- IEFIX.EXE
- HOSTSFILEREADER.EXE
- FIXPATH.EXE
- FILEFIND.EXE
- FILEALYZ.EXE
- EULALYZERSETUP.EXE
- A2HIJACKFREESETUP.EXE
- DLLCOMPARE.EXE
- CPROCESS.EXE
- CPORTS.EXE
- ASVIEWER.EXE
- APT.EXE
- APM.EXE
- WIRESHARK.EXE
- SPYBOTSD.EXE
- TEATIMER.EXE
- SPYBOTSD160.EXE
- PROCESSMONITOR.EXE
- PROCDUMP.EXE
- PG2.EXE
- LORDPE.EXE
- ICESWORD.EXE
- REANIMATOR.EXE
- ROOTKITNO.EXE
- RKD.EXE
- HACKMON.EXE
- UNHACKME.EXE
- ROOTKIT_DETECTIVE.EXE
- AVGARKT.EXE
- FSB.EXE
- FSBL.EXE
- ROOTKITREVEALER.EXE
- PSKILL.EXE
- TASKMON.EXE
- TASKLIST.EXE
- TASKMAN.EXE
- PROCEXP.EXE
- MSNFIX.EXE
- HIJACKTHIS_V2.EXE
- HIJACKTHIS.EXE
- HIJACKTHIS_SFX.EXE
- HJTSETUP.EXE
- HJTINSTALL.EXE
- OLLYDBG.EXE
- NETSTAT.EXE
- PORTMONITOR.EXE
- PORTDETECTIVE.EXE
- FPORT.EXE
- APORTS.EXE
- PAVARK.EXE
- DARKSPY105.EXE
- HELIOS.EXE
- ROOTKITBUSTER.EXE
- ROOTALYZER.EXE
- BC5CA6A.EXE
- SEEM.EXE
- DELAYDELFILE.EXE
- DUBATOOL_AV_KILLER.EXE
- SUPERKILLER.EXE
- KAKASETUPV6.EXE
- BUSCAREG.EXE
- MSNCLEANER.EXE
- SRESTORE.EXE
- BOOTSAFE.EXE
- SUPERANTISPYWARE.EXE
- CCLEANER.EXE
- REGUNLOCKER.EXETSNTEVAL.EXEXP_TASKMGRENAB.EXE
- CF9409.EXE
- GMER.EXE
- CATCHME.EXE
- SDFIX.EXE
- COMBOFIX.EXE
- SRENGPS.EXE
- AUTORUNS.EXE
- TASKKILL.EXE
- REGEDIT.EXE
- REG.EXE
- MYPHOTOKILLER.EXE
- KILLAUTOPLUS.EXE
- FOLDERCURE.EXE
- REGEDIT.SCR
- REGEDIT.COM
- MMC.EXE
- TCPVIEW.EXE
- LISTO.EXE
- GUARD.EXE
- NTVDM.EXE
- COMMAND.COM
- COMBOFIX.COM
- COMBOFIX.SCR
- COMBOFIX.BAT
- REGMON.EXE
- OTMOVEIT.EXEMBAM-SETUP.EXE
- JAJA.EXE
- AVZ.EXE
- MBAM.EXE
- MBAM-SETUP.EXE
- PENCLEAN.EXE
- ELISTA.EXE
- HJ.EXE
- WINDOWS-KB890930-V2.2.EXE
- MRTSTUB.EXE
- MRT.EXE
- HIJACK-THIS.EXE
- VIRUS.EXE
- SAFEBOOTKEYREPAIR.EXEOTMOVEIT3.EXEHOSTSXPERT.EXEDAFT.EXE
- ATF-CLEANER.EXE
- COMPAQ_PROPIETARIO.EXE
- SRENGLDR.EXE
- HOOKANLZ.EXE
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
「WORM_IRCBOT.ABB」で検出したファイル名を確認し、そのファイルを終了します。
- 検出ファイルが、Windows のタスクマネージャに表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 3
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
- Microsoft Driver Setup = %Windows%\cfdrive32.exe
- Microsoft Driver Setup = %Windows%\cfdrive32.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- Microsoft Driver Setup = %Windows%\cfdrive32.exe
- Microsoft Driver Setup = %Windows%\cfdrive32.exe
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- EnableFirewall = 0
- EnableFirewall = 0
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- {Malware Path and File Name} = {Malware Path and File Name}:*:%Windows%\cfdrive32.exe
- {Malware Path and File Name} = {Malware Path and File Name}:*:%Windows%\cfdrive32.exe
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_IRCBOT.ABB」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください