発見日: 2004 年 10 月 4 日
更新日: 2007 年 2 月 13 日 12:36:11 PM
種別: トロイの木馬
影響を受けるシステム: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
Downloader.Lunii が実行されると、次のことを行います。
- 次のファイルをダウンロードして、実行します。
- %Windir%\toolbar.exe
- %Windir%\mstasks1.exe
- %system%\dktime.exe
- %system%\dk.exe
- %system%\dk32.exe
- %system%\sexxx.exe
注意:
- %System% は可変でシステムフォルダを参照します。標準では、このフォルダは C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、または C:\Windows\System32 (Windows XP) です。
- %Windir% は可変で Windows のインストールフォルダを参照します。標準では、このフォルダは C:\Windows (Windows 95/98/Me/XP) または C:\Winnt (Windows NT/2000) です。
- アドウェアプログラムに関連する可能性がある次のプロセスを停止します。
- lpt.exe
- ir.exe
- intron.exe
- intronet.exe
- twink64.exe
- usb.exe
- teur.exe
- host32.exe
- sidefind.exe
- alchem.exe
- powerscan.exe
- bdl74125.exe
- Installer2.exe
- ttgkirnl.exe
- bargains.exe
- WinClt.exe
- Winad.exe
- istsvc.exe
- actalert.exe
- optimize.exe
- iinstall.exe
- fnnmqi.exe
- exdl.exe
- printer.exe
- printer32.exe
- ykyrtws.exe
- loadclean.exe
- telnet.exe
- アドウェアプログラムに関連する可能性がある次のファイルを削除します。
- %Temp%\bdl74125.exe
- %Temp%\Installer2.exe
- %Temp%\msbb.exe
- %System%\host32.exe
- %System%\telnet.exe.tmp
- %System%\mouse.exe
- %System%\com.exe
- %System%\fnnmqi.exe
- %System%\exdl.exe
- %System%\exe2bin.exe
- %System%\exul.exe
- %System%\fastopen.exe
- %System%\mscdexnt.exe
- %System%\printer.exe
- %System%\printer32.exe
- %System%\ykyrtws.exe
- %System%\lpt.exe
- %System%\ir.exe
- %System%\intron.exe
- %System%\intronet.exe
- %System%\twink64.exe
- %System%\usb.exe
- %Windir%\alchem.exe
- %Windir%\adp8027_ISEARCHTECH5.exe
- %Windir%\preInsTT.exe
- %Windir%\preInsln.exe
- %Windir%\preInMPP.exe
- %Windir%\loadclean.exe
注意: %Temp% は可変で Windows テンポラリフォルダを参照します。標準では、このフォルダは C:\Windows\TEMP (Windows 95/98/Me/XP) または C:\WINNT\Temp (Windows NT/2000) です。
- 次の値を
- "Ukbybc"
- "ControlPanel"
- "alchem"
- "BullsEye Network"
- "dmesewxqtj"
- "Internet Optimizer"
- "IST Service"
- "Power Scan"
- "Winad Client"
次のレジストリキーから削除することによって、
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Windows の起動時に特定のプログラムが実行されるのを阻止します。
- 次のレジストリキーの下のレジストリエントリをすべて削除することによって、
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Browser Helper Objects
特定のブラウザヘルパーオブジェクトを削除します。
- Hosts ファイルを次の文字列で上書きすることによって、特定の Web サイトへのアクセスをブロックします。
127.0.0.3 allforadult.com
127.0.0.3 www.allforadult.com
127.0.0.3 www.iframe.biz
127.0.0.3 iframe.biz
127.0.0.3 www.newiframe.biz
127.0.0.3 newiframe.biz
127.0.0.3 www.vesbiz.biz
127.0.0.3 vesbiz.biz
127.0.0.3 www.pizdato.biz
127.0.0.3 pizdato.biz
127.0.0.3 www.aaasexypics.com
127.0.0.3 aaasexypics.com
127.0.0.3 www.virgin-tgp.net
127.0.0.3 virgin-tgp.net
推奨する感染予防策
シマンテックセキュリティレスポンスでは、すべてのユーザーと管理者の皆様に対し、基本的なオンラインセキュリティ対策として日常的に次のことを実行することを勧めています。
- 不必要なサービスをすべて無効化するか、あるいは削除する。 OSの多くは標準で、FTPクライアント、telnet、Webサーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されます。そのような付加的なサービスを削除することによって、複合型リスクの攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
- 1 つ以上のネットワークサービスが複合型脅威によって悪用された場合、パッチを適用するまでの間、攻撃対象となったサービスを無効にするか、またはそのサービスへのアクセスを遮断する。
- 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。 . また、この記事、信頼できるセキュリティ情報、ベンダーの Web サイトのいずれかで言及されているセキュリティアップデートがある場合、そのセキュリティアップデートも適用してください。
- パスワードポリシーの徹底。 複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。これにより、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
- メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scrなど)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
- ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離す。被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
- 予期せぬメールが届いた場合には、添付ファイルを開かないように従業員を指導する。 また、インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。 既知のセキュリティホールに対応するパッチが適用されていないWebブラウザーを使用している場合は、安全でないWebサイトにアクセスするだけで感染する可能性があることに留意する。
記述: Hiroshi Shinotsuka
Hatena
Yahoo
Livedoor
Buzzurl
Delicious
FC2
Google
Newsvine
newsing
Digg
