現在地 HOME > ＩＴ7 > 339.html
★阿修羅♪
|
現在地 HOME > ＩＴ7 > 339.html
★阿修羅♪
|
|
| Tweet |
sophosのサイトなどにもありますけれど、以下のsymantecのサイトの説明が詳しいです。まあ、ＸＰなどなら「C:\WINDOWS\system32」のフォルダに出来る普通のファイルのようです。
但し、以下にご案内するように他のフォルダにできていると、「Backdoor.Ciadoor.B」と言うトロイの木馬がインストールされている可能性もあります。単純に一笑にふすのではなく、もし気になるようでしたら以下の説明を参考に調べることをお勧めしたいです。
＊なにしろ、トロイの木馬やバックドア型は今までのウイルスと違って潜行忍者型ですから、油断しない方がよろしいです。
あと、情報が古いからといって油断しない方が良いです。古くてもいまだに出回っているウイルスもけっこうありますから。
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
http://www.symantec.com/region/jp/sarcj/data/b/backdoor.ciadoor.b.html
Backdoor.Ciadoor.B
発見日: 2003年11月23日 (米国時間)
最終更新日: 2003年11月24日 11:50 (米国時間)
Backdoor.Ciadoor.Bは、侵入先のコンピュータに不正アクセスできるようにするトロイの木馬です。
別名: Backdoor.Ciadoor.12.b [Kaspersky], Backdoor-ASB [McAfee]
亜種: Backdoor.Ciadoor
種別: トロイの木馬
感染サイズ: 128,205 バイト
影響を受けるシステム: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
影響を受けないシステム: DOS, Linux, Macintosh, OS/2, UNIX, Windows 3.x
# 対応日(Intelligent Updater)*
2003/11/24(米国時間)
# 対応日(Live UpdateTM)**
2003/11/26(米国時間)
* Intelligent Updaterを通じたウイルス定義は随時更新されていますが、そのダウンロードとインストールは手動で行う必要があります。
** LiveUpdateを通じたウイルス定義は毎週水曜日(米国時間)に更新されています。
LiveUpdateの使い方については、こちらをクリックしてください。
threat assessment
被害状況
* 感染台数: 0-49
* 報告件数: 0-2
* 地域感染度: 低
* 対処レベル: 高
* 駆除: 普通
危険性評価グラフ
Low Medium Low
被害状況:
低
ダメージ:
中
感染力:
低
ダメージ
* 発症のタイミング: N/A
* 発病症状: N/A
o 大量メール送信: N/A
o ファイル削除: N/A
o ファイル改ざん: N/A
o 秘密情報の漏洩: 侵入先のコンピュータ上のデータへの不正アクセスを可能にする。
o パフォーマンス低下: N/A
o システムの不安定化: N/A
o 不正アクセス: 侵入先のコンピュータへの不正アクセスを可能にする。
感染力
* メール件名: N/A
* 添付ファイル: N/A
* 添付ファイルのタイムスタンプ: N/A
* 添付ファイルのサイズ: N/A
* ポート: N/A
* 共有ドライブ: N/A
* 感染対象: N/A
technical details
Backdoor.Ciadoor.Bが実行されると、次のことを行います。
1. 自分自身を%Windir%＼Spoolsv.exeとしてコピーし、そのファイルに隠しファイル属性を設定します。
注意: %Windir% は可変です。このトロイの木馬はWindowsのインストールフォルダ(標準ではC:＼WindowsまたはC:＼Winnt) を探し出し、その場所に自分自身をコピーします。
2. 次の値を
"Print Spooler" = %Windir%＼Spoolsv.exe
次のレジストリキーに追加します。
* HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run
* HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunServices
* HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer＼Run
3. 自分自身をプロセスとして登録します。
4. Win.iniファイルの[windows]セクションに次の行を追加します。
load=%Windir%＼Spoolsv.exe
run=%Windir%＼Spoolsv.exe
5. System.iniファイルの[boot]セクションを、次の内容に改変します。
shell=Explorer.exe %Windir%＼Spoolsv.exe
6. あるポートを開き、攻撃者からのコマンドを待機します。そのとき開かれるポートは、標準では1987です。
7. このトロイの木馬は、侵入先のコンピュータ上で攻撃者が次のことを実行できるようにします。
* ファイルシステムの制御
* プロセスの閲覧／停止
* ウィンドウの操作
* スクリーンショットの撮影
* キーストロークのログ生成
* Webカメラの制御やイメージのキャプチャ
* キャッシュされているパスワードの盗用
* ファイルのアップロードおよびダウンロード
* Windowsのシャットダウン
* CD-ROM、キーボード設定、デスクトップの表示・非表示、タスクバーの表示・非表示、マウス制御など、様々なシステム動作の操作
* ブラウザー履歴の閲覧
* Windowsクリップボード情報の盗用
* Windowsシステム情報の盗用
* バッチファイルの作成／実行
* システムファイルの盗用
* DOSコマンドの実行
* 偽のMSNログオン画面を表示し、MSNアカウント情報を盗もうとする
recommendations
Symantec Security Response では、すべてのユーザと管理者の皆様に対し、基本的なオンライン・セキュリティ対策として日常的に次のことを実行することを奨励しています。
* 不必要なサービスをすべて無効化するか、あるいは削除する。OS の多くは標準で、FTP クライアント、telnet、Web サーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されることが多いため、無効化あるいは削除することによって、攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
* 1つ、あるいは複数のネットワークサービスが複合型脅威の攻撃を受けた場合には、パッチを適用するまでの一時的な回避策として、攻撃を受けているサービスをオフにするか、そのサービスへのアクセスを遮断する。
* 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。
* パスワード・ポリシーの徹底。複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。また、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
* メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scr など)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
* ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離し、その後、被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
* 従業員に対し、次のことを徹底させる。
o 予期せぬメールが届いた場合には添付ファイルを絶対に開かない。
o インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。
o 既知のセキュリティホールに対応するパッチが適用されていない Web ブラウザーを使用している場合は、安全でない Web サイトにアクセスするだけで感染する可能性があることを留意する。
removal instructions
以下の手順は、Symantec AntiVrusおよびNorton AntiVirus製品シリーズも含め、現在サポート対象となっているすべてのシマンテック・アンチウイルス製品のお客様を対象にして記述されています。
1. システムの復元機能を無効にします（Windows Me/XPの場合）。
2. ウイルス定義を最新版に更新します。
3. システム全体のスキャンを実行し、Backdoor.Ciadoor.Bとして検出されたファイルをすべて削除します。
4. レジストリに追加された値を削除します。
5. システムファイルからエントリを削除します。
具体的な手順については、以下のセクションをご覧ください。
1. システムの復元オプションを無効にする (Windows Me/XP)
Windows Me/XPをお使いの場合は、駆除作業を行う前にシステムの復元オプションを一時的にオフにしてください。システムの復元機能は、Windows Me/XPの機能の一つで、標準では有効に設定されています。この機能は、Windowsがコンピュータ上のファイルが破損した場合にそれらを自動的に復元するために使用されます。コンピュータがウイルス、ワーム、またはトロイの木馬に感染した場合、ウイルス、ワーム、またはトロイの木馬のバックアップファイルが_RESTOREフォルダ内に作成されている可能性があります。
Windowsは、ウイルス対策プログラムのような外部プログラムによるシステムの復元機能の改変を防止するように設定されています。この理由により、ウイルス対策プログラムおよび駆除ツールでは_RESTOREフォルダ内に保存されている感染ファイルを削除することはできません。その結果、他のあらゆる場所から感染ファイルを削除した後でも、感染したファイルが誤って復元される可能性があります。
また、ウイルス対策プログラムでコンピュータをスキャンしたときに感染ファイルが検出されなかった場合でも、オンラインスキャンの実行時にRestoreフォルダ内の脅威が検出されることがあります。
システムの復元機能を無効にする方法については、Windowsのマニュアルか、あるいは下記のドキュメントをご覧ください。
* Windows Me のシステムの復元機能を有効/無効にする方法
* Windows XP のシステムの復元機能を有効/無効にする方法
注意: 駆除作業が完全に終わり、脅威が駆除されたことを確認した時点で、上記のドキュメントに記載の手順を実行することでシステムの復元機能を有効な状態に戻してください。
システムの復元機能についての詳細および別の無効化方法については、Microsoft Knowledge Base article :_RESTORE フォルダにウィルスが発見された場合の対応方法について ID: Q263455をご覧ください。
2. ウイルス定義を更新する
ウイルス定義ファイルはすべて、Symantec Security Responseによる完全品質保証テストを通過した後で弊社サーバーにアップロードされています。最新版のウイルス定義は次の2通りの方法で入手できます。
* LiveUpdateを実行する方法。LiveUpdateTMは、ウイルス定義ファイルと製品アップデートを最も手軽に入手いただける方法です。LiveUpdateを通じて配布されているウイルス定義ファイルは、Symantec Security Responseの完全品質保証テストを通過後、危険度の高いウイルスが出現した場合を除き、通常は毎週水曜日にLiveUpdateTMサーバーにアップロードされます。この脅威に対応するウイルス定義がLiveUpdateを通じて入手可能かどうかを判断するには、ページ上部に記載の「対応日(LiveUpdate）」欄の日付をご覧ください。
* Intelligent UpdaterTMを使用してウイルス定義をダウンロードする方法。Intelligent UpdaterTMを通じて配布しているウイルス定義ファイルは、Symantec Security Response（シマンテック・セキュリティ・レスポンス）による完全な品質保証検査を通過後、米国時間の平日（月曜日〜金曜日）に随時、更新、アップロードされています。Intelligent UpdaterTMによるウイルス定義ファイルは、Symantec Security ResponseのWebサイトからダウンロードし、手動でインストールする方法でのみご利用いただけます。この脅威に対応するウイルス定義がIntelligent Updaterを通じて入手可能かどうかを判断するには、ページ上部に記載の「対応日(Intelligent Updater）」欄の日付をご覧ください。
Intelligent Updaterのウイルス定義は、こちらからダウンロードいただけます。Intelligent UpdaterTM を使用してウイルス定義ファイルをダウンロード、インストールする方法については、こちらをクリックしてください。
3. 感染ファイルを探して削除する
1. Norton AntiVirus (NAV)を開き、すべてのファイルがスキャン対象として設定されているか確認します。
* 個人のお客様向けNAV製品をお使いの場合（パッケージ製品）：詳しくは、"すべてのファイルをウイルススキャンする手順"をご覧ください。
* 企業・法人のお客様向けNAV製品をお使いの場合（ライセンス製品）：詳しくは、"Norton AntiVirus Corporate Edition ですべてのファイルがウイルススキャンされるように設定する方法"をご覧ください。
2. システム全体のスキャンを実行します。
3. Backdoor.Ciadoor.Bに感染しているファイルが検出されたら、[削除]をクリックします。
4. レジストリから値を削除する
注意：システムレジストリに変更を行なう際には、事前にバックアップを作成することを強くお勧めします。レジストリに不適切な変更を行なうと、データの喪失やファイルの破損など修復不可能な問題が生じる可能性があります。指定されたキーのみを修正するよう注意してください。レジストリの編集作業を始める前に必ず「レジストリのバックアップ方法」をお読みください。
1. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。（[ファイル名を指定して実行]ダイアログボックスが表示されます。）
2. regeditと入力します。
その後、[OK]をクリックします。（レジストリ エディタが開きます。）
3. 次のレジストリキーを選択します。
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run
4. 画面右側で、次の値を削除します。
"Print Spooler"="%windir%＼spoolsv.exe"
5. 次のレジストリキーを選択します。
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunServices
6. 画面右側で、次の値を削除します。
"Print Spooler"="%windir%＼spoolsv.exe"
7. 次のレジストリキーを選択します。
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer＼Run
8. 画面右側で、次の値を削除します。
"Print Spooler"="%windir%＼spoolsv.exe"
9. レジストリエディタを終了します。
5. システムファイルからエントリを削除する
Win.iniファイルの編集方法：
Windows 95/98/Meをご使用の場合、次の手順に従ってください。
1. ご使用のOSに応じて次のうちのいずれかを実行します。
* Windows 95/98: ステップbに進みます。
* Windows Me: Windows Meをご使用の場合、そのファイル保護機能によって、このセクションで編集するWin.iniファイルのバックアップコピーがC:Windows＼ Recentフォルダ内に自動的に作成されます。このセクションで説明している作業を行う際には、最初にそのファイルを削除しておくことをお勧めします。 Win.iniファイルを削除するには、次の手順に従ってください。
1. Windowsエクスプローラを起動します。
2. C:＼Windows＼Recentフォルダを探して選択します。
3. 画面右側で、Win.iniファイルを選択して削除します。Win.iniファイルはステップfで変更を保存する際に再作成されます。
2. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。
3. 次のコマンドを入力し、[OK]をクリックします。
edit c:＼windows＼win.ini
(MS-DOSエディタが開きます。)
注意: Windowsを上記以外の場所にインストールしていた場合は、パスを適宜置き換えてください。
4. ファイルの[windows] セクションで、次の内容に類似する行を探します。
run = %windir%＼spoolsrv.exe
5. 該当する行が存在する場合、%windir%＼spoolsrv.exeの部分を削除します。
6. [ファイル]-[保存]をクリックします。
7. [ファイル]-[終了]をクリックします。
System.iniファイルの編集方法：
ご使用のOSに応じて次のうちのいずれかを実行します。
* Windows 95/98: ステップaに進みます。
* Windows Me: Windows Meをご使用の場合、そのファイル保護機能によって、このセクションで編集するSystem.iniファイルのバックアップコピーがC:Windows＼ Recentフォルダ内に自動的に作成されます。このセクションで説明している作業を行う際には、最初にそのファイルを削除しておくことをお勧めします。 System.iniファイルを削除するには、次の手順に従ってください。
1. Windowsエクスプローラを起動します。
2. C:＼Windows＼Recentフォルダを探して選択します。
3. 画面右側で、System.iniファイルを選択して削除します。System.iniファイルはステップfで変更を保存する際に再作成されます。
1. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。
2. 次のコマンドを入力し、[OK]をクリックします。
edit c:＼windows＼system.ini
(MS-DOSエディタが開きます。)
注意: Windowsを上記以外の場所にインストールしていた場合は、パスを適宜置き換えてください。
3. ファイルの[boot] セクションで、次の内容に類似する行を探します。
shell = Explorer.exe %windir%＼spoolsrv.exe
4. 該当する行が存在する場合、Explorer.exeの右側の内容をすべて削除します。
削除後は次のようになります。
shell = Explorer.exe
5. [ファイル]-[保存]をクリックします。
6. [ファイル]-[終了]をクリックします。
題名には必ず「阿修羅さんへ」と記述してください。