BKDR_ROMBERTIK.A
Windows
マルウェアタイプ:
バックドア型
破壊活动の有无:
なし
暗号化:
はい
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
マルウェアは、データを一扫する（飞颈辫别谤）ことで知られており、検出を避けるためハードドライブを一扫するタイプのマルウェアです。
マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。
マルウェアは、特定の奥别产サイトにアクセスし、情报を送受信します。
詳細
侵入方法
マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。
- %Application Data%\rsr\yfoye.exe
(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)
マルウェアは、以下のファイルを作成します。
- %Application Data%\rsr\yfoye.bat
(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)
自动実行方法
マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。
- %User Startup%\fgf.vbs
(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)
バックドア活动
マルウェアは、以下の奥别产サイトにアクセスし、情报を送受信します。
- www.{BLOCKED}os.org.in/don1/gate.php
その他
マルウェアは、以下の奥别产ブラウザへ自身を挿入し、ユーザの奥别产ブラウザ上での活动を监视します。
- iexplore.exe
- firefox.exe
- chrome.exe
抗セキュリティ対策の机能：
仮想化されたコンピュータにおいて、マルウェアはプロセスのループを実行します。これによりサンドボックスが巨大なログを生成し、コンピュータのクラッシュの原因となる可能性があります。
自身の通常の不正活动の他、マルウェアはファイル名が以下の文字列のいずれかを含む场合、正规のウィンドウを表示します。
- malwar
- file.
- sandb
- viru
- sampl
マルウェアは、抗セキュリティ対策の機能を含んでおり、この機能が開始されると、感染コンピュータのMaster Boot Record (MBR) の上書きを実行します。上書きに失敗した場合、マルウェアは、ユーザのホームディレクトリ内のファイルを暗号化します。これによりコンピュータが使用不要になるか、機能が限定されます。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
以下のファイルを検索し削除します。
- %Application Data%\rsr\yfoye.bat
- %User Startup%\fgf.vbs
手順 3
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_ROMBERTIK.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。