現在地 HOME > 掲示板
> ＩＴ6 > 367.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ6 > 367.html
★阿修羅♪
|
|
| Tweet |
(回答先: (貴方はキンタマ大丈夫？悪い冗談だ(^^;→汗)デスクトップ画像をあぷろだにUpするトロイの木馬が出現【IT_Media 投稿者 クエスチョン 日時 2004 年 9 月 27 日 19:06:00)
Symantecのテクニカルノート(抜粋)
http://www.symantec.co.jp/region/jp/avcenter/venc/data/jp-trojan.upchan.html
Trojan.Upchan が実行されると、次のことを行います。
1. 次のファイルを作成します。
%Windir%＼shellsystem.exe
2. 次の値を
"shellsystem" = "shellsystem.exe"
次のレジストリキーに追加します。
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run
注意: %Widir% は可変で Windows のインストールフォルダを参照します。標準では、このフォルダは ＼Windows (Windows 95/98/Me)、C:＼Winnt (Windows NT/2000)、または or C:＼Windows (Windows XP) です。
3. 感染先システムのスクリーンショットを撮影し、それを次の Web サイトにアップロードします。
http:/ /up.isp.2ch.net/upload/c=03okari/index.cgi
4. 次の URL で公開されているリストからランダムに選択した掲示板に、感染先システムのコンピュータやユーザ名、ならびにスクリーンショットへのリンクを掲載します。
http:/ /www.ff.iij4u.or.jp/~ch2/bbstable.html
5. このトロイの木馬は常に、互いを監視しあう 2 つの同一プロセスを実行しています。1 つのプロセスが停止すると、もう 1 つのプロセスが新規プロセスを開始するため、このトロイの木馬を停止するのは困難です。
推奨する感染予防策
Symantec Security Responseでは、すべてのユーザと管理者の皆様に対し、基本的なオンライン・セキュリティ対策として日常的に次のことを実行することを奨励しています。
* 不必要なサービスをすべて無効化するか、あるいは削除する。OSの多くは標準で、FTPクライアント、telnet、Webサーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されることが多いため、無効化あるいは削除することによって、攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
* 1つ、あるいは複数のネットワークサービスが複合型脅威の攻撃を受けた場合には、パッチを適用するまでの一時的な回避策として、攻撃を受けているサービスをオフにするか、そのサービスへのアクセスを遮断する。
* 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNSサービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。
* パスワード・ポリシーの徹底。複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。また、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
* メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scrなど)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
* ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離し、その後、被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
* 従業員に対し、次のことを徹底させる。
* 予期せぬメールが届いた場合には添付ファイルを絶対に開かない。
* インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。
* 既知のセキュリティホールに対応するパッチが適用されていないWebブラウザーを使用している場合は、安全でないWebサイトにアクセスするだけで感染する可能性があることに留意する。
駆除方法
以下の手順は、Symantec AntiVirus および Norton AntiVirus 製品シリーズも含め、現在サポート対象となっているすべてのシマンテック アンチウイルス製品のお客様を対象にして記述されています。
1. システムの復元機能を無効にします (Windows Me/XP の場合)。
2. ウイルス定義を最新版に更新します。
3. システム全体のスキャンを実行し、Trojan.Upchan として検出されたファイルをすべて削除します。
4. レジストリに追加された値を削除します。
具体的な手順については、以下のセクションをご覧ください。
1. システムの復元オプションを無効にする (Windows Me/XP)
Windows Me/XP をお使いの場合は、駆除作業を行う前にシステムの復元オプションを一時的に無効にしてください。システムの復元機能は、Windows Me/XP の機能のひとつで、標準では有効に設定されています。この機能は、Windows がコンピュータ上のファイルが破損した場合にそれらを自動的に復元するために使用されます。コンピュータがウイルス、ワーム、またはトロイの木馬に感染した場合、ウイルス、ワーム、またはトロイの木馬のバックアップファイルが _RESTORE フォルダ内に作成されている可能性があります。
Windows は、ウイルス対策プログラムのような外部プログラムによるシステムの復元機能の改変を防止するように設定されています。この理由により、ウイルス対策プログラムおよび駆除ツールでは _RESTORE フォルダ内に保存されている感染ファイルを削除することはできません。その結果、他のあらゆる場所から感染ファイルを削除した後でも、感染したファイルが誤って復元される可能性があります。
また、ウイルス対策プログラムでコンピュータをスキャンしたときに感染ファイルが検出されなかった場合でも、オンラインスキャンの実行時に _RESTORE フォルダ内の脅威が検出されることがあります。
システムの復元機能を無効にする方法については、Windows のマニュアルか、あるいは下記のドキュメントをご覧ください。
* Windows Me のシステムの復元機能を有効/無効にする方法
* Windows XP のシステムの復元機能を有効/無効にする方法
注意: 駆除作業が完全に終わり、脅威が駆除されたことを確認した時点で、上記のドキュメントに記載の手順を実行することでシステムの復元機能を有効な状態に戻してください。
システムの復元機能についての詳細および別の無効化方法については、"マイクロソフト サポート技術情報 - 263455 - _RESTORE フォルダにウィルスが発見された場合の対応方法について" をご覧ください。
2. ウイルス定義ファイルを更新する
ウイルス定義ファイルを最新版に更新します。最新版のウイルス定義ファイルは次の 2 通りの方法で入手することができます。
* LiveUpdate を使用して入手する方法
シマンテックの LiveUpdate サーバーにクライアントやサーバーからアクセスし、ウイルス定義ファイルをダウンロードして自動的に更新を行います。LiveUpdate では、最後に LiveUpdate を実行した後に追加・更新された情報のみがダウンロードされます。このため、ダウンロード時のネットワークトラフィックを最小限に抑えることができます。
LiveUpdate のウイルス定義ファイルは、通常は毎週木曜日に定期的に LiveUpdate サーバーにアップロードされます。また、危険度の高いウイルスが発見された場合にも、緊急対応として LiveUpdate サーバーにアップロードされる場合があります。
このウイルスへの対応は、ページ上部に記載の「対応日(LiveUpdate）」欄の日付をご覧ください。
* Intelligent Updater を使用して入手する方法
Intelligent Updater は、シマンテックの Web サイトや FTP サイトで提供されています。ダウンロードしたプログラムを実行することで、そのコンピュータ上のウイルス定義ファイルを最新版に更新することができます。
Intelligent Updater 形式のウイルス定義ファイルは、米国時間の平日 (日本時間の火曜日〜土曜日) に毎日アップロードされます。Intelligent Updater 形式のウイルス定義ファイルは LiveUpdate よりも早いタイミングでアップロードされますが、ベータリリースという位置付けではなく、アップロード前に完全な品質保証テストが行われています。
このウイルスへの対応は、ページ上部に記載の「対応日(Intelligent Updater）」欄の日付をご覧ください。
注意: Intelligent Updater は、ウイルス定義ファイルとスキャンエンジンの完全版をインストールするプログラムです。このため、前回からの差分のみをダウンロードする LiveUpdate に比べると、ダウンロードサイズが非常に大きな容量となります。このため、LiveUpdate で定期的にウイルス定義ファイルの更新を行い、疑わしいファイルからウイルスを検知できない場合などに、Intelligent Updater でウイルス定義ファイルを更新することをお薦めします。
Intelligent Updater のウイルス定義ファイルは、こちらからダウンロードすることができます。ダウンロード、インストールする方法に関しては、こちらをご参照ください。
3. 感染ファイルを探して削除する
1. シマンテックのウイルス対策ソフトを起動して、すべてのファイルがスキャン対象として設定されているか確認します。
* 個人のお客様向け Norton AntiVirus 製品をお使いの場合 (パッケージ製品) : 詳しくは、"すべてのファイルをウイルススキャンするように設定する方法"をご覧ください。
* 企業・法人のお客様向け Symantec AntiVirus 製品をお使いの場合 (ライセンス製品) : 詳しくは、"NAVCE、SAVCE ですべてのファイルがウイルススキャンされるように設定する方法" をご覧ください。
2. システム全体のスキャンを実行します。
3. Trojan.Upchan に感染しているファイルが検出されたら、[削除] をクリックします。
注意: Norton AntiVirus が感染ファイルを削除できないというメッセージが表示された場合、そのファイルは Windows で使用中の可能性があります。このような場合には、コンピュータをセーフモードで再起動した後でスキャンを実行する必要があります。コンピュータをセーフモードで再起動する方法については、"コンピュータをセーフモードで起動する方法" をご覧ください。コンピュータがセーフモードで再起動したら、スキャンを再度実行してください。
(ファイルの削除後、セーフモードのままセクション 4 へ進み、作業が完了した時点で、コンピュータを通常モードで再起動してもかまいません。)
4. レジストリから値を削除する
警告: システムレジストリに変更を行なう際には、事前にバックアップを作成することを強くお勧めします。レジストリに不適切な変更を行なうと、データの喪失やファイルの破損など修復不可能な問題が生じる可能性があります。指定されたキーのみを修正するよう注意してください。レジストリの編集作業を始める前に必ず "レジストリのバックアップ方法" をお読みください。
1. [スタート] ボタンを押し、[ファイル名を指定して実行] をクリックします。
2. regedit と入力します。
その後、[OK] をクリックします。
3. 次のレジストリキーを選択します。
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run
4. 画面右側で、次の値を削除します。
"shellsystem" = "shellsystem.exe"
5. レジストリエディタを終了します。
記述: Kaoru Hayashi
題名には必ず「阿修羅さんへ」と記述してください。