BKDR_ZACESS.SMAE
Windows 2000, Windows XP, Windows Server 2003
マルウェアタイプ:
バックドア型
破壊活动の有无:
なし
暗号化:
はい
感染報告の有無 :
はい
? 概要
マルウェアは、悪意ある奥别产サイトからユーザが误ってダウンロードすることにより、コンピュータに侵入します。
マルウェアは、ルートキット机能を备えており、自身に関连したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。
詳細
侵入方法
マルウェアは、悪意ある奥别产サイトからユーザが误ってダウンロードすることにより、コンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %Application Data%\{random}\@
- %Application Data%\{random}\X
- %Windows%\{random numbers}
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)
マルウェアは、以下のフォルダを作成します。
- %Application Data%\{random}
- %Application Data%\{random}\U
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)
自动実行方法
マルウェアは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "%Application Data%\{random}\X"
マルウェアは、自身をシステムサービスとして登録し、奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Type = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Start = "3"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ImagePath = "\systemroot\1493438348:1945172902.exe"
他のシステム変更
マルウェアは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\Software\{random}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{b1041c7f-46ea-d87c-4a51-abba7b80f3da}
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\{random}
u = "{dword value}"
HKEY_CURRENT_USER\Software\{random}
id = "{hex values}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{b1041c7f-46ea-d87c-4a51-abba7b80f3da}
u = "{dword value}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{b1041c7f-46ea-d87c-4a51-abba7b80f3da}
cid = "{hex values}"
ルートキット机能
マルウェアは、ルートキット机能を备えており、自身に関连したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。
その他
マルウェアは、以下の不正な奥别产サイトにアクセスします。
- http://{BLOCKED}hu.cn/stat2.php?w={value}&i={value}&a={value}
- http://{BLOCKED}hu.cn/bad.php?w={value}&fail={value}&i={value}
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
回復コンソールを使用して、BKDR_ZACESS.SMAE として検出されるファイルを確認し、削除します。
手順 3
このマルウェアが追加したランダムなサービスキーの削除を削除します。
- 最新のバージョン（エンジン、パターンファイル）を导入したウイルス対策製品を用いてウイルス検索を実行してください。検出したマルウェアのパス名およびファイル名を确认し、メモ等をとってください。
- 「レジストリエディタ」を起动します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。 - 摆颁罢搁尝闭+摆贵闭で摆検索闭ダイアログボックスを表示します。
- 検索ダイアログボックス内に、上记で検出したマルウェアのファイル名を入力し、摆次を検索闭をクリックします。
（註：ダイアログボックス内のチェックボックスは、摆データ闭のみがチェックされていることを确认してから摆次を検索闭をクリックしてください。） - 上记で确认したマルウェアのファイル名が确认できた场合、右パネルに以下のレジストリ値が存在することを确认します。
ImagePath = ＜上記で確認したマルウェアのパス名およびファイル名＞
- このレジストリ値が确认できた场合、左侧のパネルで、このレジストリ値が属するサービスキーを検索します。
- 左侧のパネルで検索したサービスキー上で右クリックし、摆削除闭を选択します。
- 摆レジストリをすべて検索しました闭というダイアログボックスが表示されるまで、手顺2.）から6.）を繰り返してください。
- レジストリエディタを闭じてください。
手順 4
このレジストリキーを削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\
- {b1041c7f-46ea-d87c-4a51-abba7b80f3da}
- {b1041c7f-46ea-d87c-4a51-abba7b80f3da}
手順 5
このレジストリ値を削除します。
警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
- Shell = %Application Data%\{random}\X
- Shell = %Application Data%\{random}\X
手順 6
以下のファイルを検索し削除します。
- %Application Data%\{random}\@
- %Application Data%\{random}\X
- %Windows%\{random numbers}
手順 7
以下のフォルダを検索し削除します。
- %Application Data%\{random}
- %Application Data%\{random}\U
手順 8
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_ZACESS.SMAE」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。