Trojan.Spaxe

1. Dynamic Library ファイルを次のいずれかの名前で投下しようとします。
   
   
   • %System%\svchosts.dll
   • %System%\ioctrl.dll
   • %System%\netwrap.dll
     
     上記のいずれかのファイルの作成に失敗した場合は、次のいずれかの名前で再度試行します。
     
     
   • %UserProfile%\Application Data\Microsoft\svchosts.dll
   • %UserProfile%\Application Data\Microsoft\ioctrl.dll
   • %UserProfile%\Application Data\Microsoft\netwrap.dll
     
     

     ---

     注意:
   • %System% は可変でシステムフォルダを参照します。標準では、このフォルダは C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、または C:\Windows\System32 (Windows XP) です。
   • %UserProfile% は可変でカレントユーザのプロファイルフォルダを参照します。標準では、このフォルダは C:\Documents and Settings\[カレントユーザ] (Windows NT/2000/XP) です。

     ---

     
     
2. 次のレジストリサブキーへ
   
   HKEY_CLASSES_ROOT\CLSID\{A2D9D3F0-8C2A-2A1D-A376-1BECFB10AB72}\InProcServer32
   HKEY_CURRENT_USER\Software\Classes\CLSID\{A2D9D3F0-8C2A-2A1D-A376-1BECFB10AB72}\InProcServer32
   
   次の値を追加します。
   
   "Default" = "%System%\svchosts.dll"
   "Default" = "%System%\ ioctrl.dll "
   "Default" = "%System%\ netwrap.dll "
   
   または
   
   "Default" = "%AppData%\Microsoft\svchosts.dll"
   "Default" = "%AppData%\Microsoft\ioctrl.dll"
   "Default" = "%AppData%\Microsoft\netwrap.dll"
   
   これにより、Windows が起動するたびにこれが実行されるようにします。
   
   
3. 次のいずれかのレジストリサブキーへ
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObject
   
   次の値を追加します。
   
   "{A2D9D3F0-8C2A-2A1D-A376-1BECFB10AB72}" = "Reload Browse"
   
   これにより、Windows が起動するたびにこれが実行されるようにします。
   
   
4. オペレーティングシステムのバージョンによって決められる次のいずれかのレジストリ値の削除を試みます。
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler\"Advanced Features"
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObject\"Advanced Features"
   
   
5. トロイの木馬がそのファイルおよびレジストリキーを作成した後で、次のいずれかのコマンドを使用して dll を実行します。
   
   • rundll32 %AppData%\Microsoft\svchosts.dll,install
   • rundll32 %System%\svchosts.dll,install
     
     
6. "SpyAxe" という名前のアプリケーションがインストールされているかどうかを確認し、インストールされていない場合は、インターネットからユーザーの承諾無しに次のファイルをダウンロードして実行しようとします。
   
   [http://]www.spyaxe.com/[削除済み]/download2.php?ref=[six_digit_number]
   
   

   ---

   注意: ダウンロードされたアプリケーションは、有害ではない "sa[数].exe" という名前で実行される前に、システムのテンポラリフォルダへ保存されます。

   ---

   
   
   
7. システムトレイを示すバルーンメッセージを継続的に表示します。このメッセージは次のいずれかのようなものである可能性があります。
   
   本文:
   
   "Your computer is infected!
   Windows has detected spyware infection.
   
   It is recommended to use special antispyware tools to prevent data loss.
   Windows will now download and install the most up-to-date antispyware for you.
   
   Click here to protect your computer from spyware."
   
   
   
   
   本文:
   
   " Your computer is infected!
   Dangerous malware infection was detected on your PC
   The system will now download and install most efficient
   antimalware program to prevent data loss and your private
   information theft.
   Click here to protect your computer from the biggest malware
   threats."
   
   
   
   
   
8. ユーザーがバルーンをクリックするたびに、インターネットからリモートファイルをダウンロードしようとします。

推奨する感染予防策

シマンテックセキュリティレスポンスでは、すべてのユーザーと管理者の皆様に対し、基本的なオンラインセキュリティ対策として日常的に次のことを実行することを勧めています。

• 不必要なサービスをすべて無効化するか、あるいは削除する。 OSの多くは標準で、FTPクライアント、telnet、Webサーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されます。そのような付加的なサービスを削除することによって、複合型リスクの攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
• 1 つ以上のネットワークサービスが複合型脅威によって悪用された場合、パッチを適用するまでの間、攻撃対象となったサービスを無効にするか、またはそのサービスへのアクセスを遮断する。
• 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。 . また、この記事、信頼できるセキュリティ情報、ベンダーの Web サイトのいずれかで言及されているセキュリティアップデートがある場合、そのセキュリティアップデートも適用してください。
• パスワードポリシーの徹底。 複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。これにより、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
• メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scrなど)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
• ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離す。被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
• 予期せぬメールが届いた場合には、添付ファイルを開かないように従業員を指導する。 また、インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。 既知のセキュリティホールに対応するパッチが適用されていないWebブラウザーを使用している場合は、安全でないWebサイトにアクセスするだけで感染する可能性があることに留意する。