clear clear
Symantec.com logo Security Response
japan
グローバルサイト
製品とサービス
製品の購入
サポート
セキュリティ・レスポンス
ダウンロード
シマンテックについて
サーチ
フィードバック
grey


© 1995-2009 Symantec Corporation.
All rights reserved.
商標について
プライバシーポリシー
日本サイト更新日: 2003年3月11日 16:17

Category 2 Backdoor.Dvldr

発見日: 2003年3月8日 (米国時間)
最終更新日: 2003年3月10日 15:07 (米国時間)

Backdoor.Dvldr は攻撃者が侵入先コンピュータに不正アクセスできるようにするバックドアトロイの木馬です。このトロイの木馬はW32.HLLW.Deloderというワームによってインストールされます。

Backdoor.Dvldrのインストーラおよびトロイの木馬本体の両方のファイルがBackdoor.Dvldrとして検出されます。

別名: Win32.Deloder Trojan [CA], BKDR_DELODER.A [Trend], BackDoor.ARG [McAfee]

種別: トロイの木馬

感染サイズ: 684,032 バイト, 29,336 バイト

影響を受けるシステム: Windows 95, Windows 98, Windows ME, Windows NT, Windows 2000, Windows XP

影響を受けないシステム: Windows 3.x, Microsoft IIS, Macintosh, Unix, Linux


  • 対応日(Intelligent Updater)*
    		•  2003/03/09(米国時間)
  • 対応日(Live UpdateTM)**
    		•  2003/03/09(米国時間)
    * Intelligent Updaterを通じたウイルス定義は随時更新されていますが、そのダウンロードとインストールは手動で行う必要があります。
    ** LiveUpdateを通じたウイルス定義は毎週水曜日(米国時間)に更新されています。
    LiveUpdateの使い方については、こちらをクリックしてください。

    threat assessment

    被害状況

    危険性評価グラフ
    Medium Medium Low

    被害状況:
    中

    ダメージ:
    中

    感染力:
    低

    ダメージ

    technical details

    W32.HLLW.DeloderワームがBackdoor.Dvldrのインストーラを挿入し、実行すると、次のことを行います。

    1. 次のファイルを作成します。
      • %System%\Cygwin1.dll: サイズが944, 968 バイトの正規のCygwin DLLファイル（Windows用UNIX環境）
      • %Windir%\Fonts\Explorer.exe: サイズが212,992 バイトの正規のAT&T VNC server
      • %Windir%\Fonts\Omnithread_rt.dll: サイズが57,344 バイトの正規のOMNI thread abstraction DLLファイル
      • %Windir%\Fonts\VNCHooks.dll: サイズが32,768 バイトの。正規のAT&T VNC server DLLファイル。
      • %Windir%\Fonts\Rundll32.exe: サイズが29,336 バイトのバックドアトロイの木馬。Backdoor.Dvldrとして検出されます。このファイルが動作するためには、Cygwin dll（Windows用UNIX環境）が必要です。

        注意:
        • %Windir%は可変です。このトロイの木馬はWindowsのインストール先フォルダ(標準ではC:\WindowsまたはC:\Winnt)を探し出し、その場所に上記のファイルを作成します。
        • %System%は可変です。このトロイの木馬はシステムフォルダを探し出し、その場所に上記のファイルを作成します。このフォルダは、標準ではC:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000)、またはC:\Windows\System32 (Windows XP)です。
        • 正規のDLL は挿入された実行ファイルが動作するために必要となります。
        • AT&T VNC serverは有害なプログラムではありませんが、Backdoor.Dvldrによって悪質な目的に使用されます。AT&T VNC serverがインストールされた後、AT&T VNC serverはバックドアトロイの木馬と似たような様式で侵入先コンピュータのリモート管理目的で使用される可能性があります。
        • 正規の.dllファイルおよびAT&T VNC serverはファイル自体は無害のため、シマンテックのウイルス対策製品ではそれらのファイルを悪質なファイルとして検出しません。

    2. 次の値を

      TaskMan %windows%\Fonts\rundll32.exe

      次のレジストリキーに作成することで

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

      Windowsを起動あるいは再起動したときに必ずトロイの木馬が起動するようにします。

    3. 次の値を

      Explorer %windows%\Fonts\explorer.exe

      次のレジストリキーに作成します。

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

      Windowsを起動あるいは再起動したときに必ずAT&T VNCサーバーが起動するようにします。


    インストールされたトロイの木馬が実行されると、次のことを行います。

    • 以下のIRCサーバーに接続します。
      • cocket.nailed.org
      • cocket.mooo.com
      • cocket.bounceme.net
      • cocket.phathookups.com
      • cocket.gotdns.com
      • cocket.ma.cx
      • cocket.orgdns.org
      • cocket.minidns.net
      • cocket.dyn.nicolas.cx
      • cocket.dynup.net
      • cocket.pokemonfan.org
      • cocket.staticcling.org
      • cocket.getmyip.com

    • 特定のチャネルに参加します。
    • ハッカーにメッセージを送信することで通知します。
    • その後、トロイの木馬はハッカーがIRC経由でコマンドを送信するのを待機します。ハッカーはコマンドを送信することで、自動インストールの管理や数種類のサービス拒否(DoS)攻撃を行えるようになります。

    recommendations

    Symantec Security Response では、すべてのユーザと管理者の皆様に対し、基本的なオンライン・セキュリティ対策として日常的に次のことを実行することを奨励しています。

    • 不必要なサービスをすべて無効化するか、あるいは削除する。OS の多くは標準で、FTP クライアント、telnet、Web サーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されることが多いため、無効化あるいは削除することによって、攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
    • 1つ、あるいは複数のネットワークサービスが複合型脅威の攻撃を受けた場合には、パッチを適用するまでの一時的な回避策として、攻撃を受けているサービスをオフにするか、そのサービスへのアクセスを遮断する。
    • 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。
    • パスワード・ポリシーの徹底。複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。また、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
    • メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scr など)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
    • ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離し、その後、被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
    • 従業員に対し、次のことを徹底させる。
      • 予期せぬメールが届いた場合には添付ファイルを絶対に開かない。
      • インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。
      • 既知のセキュリティホールに対応するパッチが適用されていない Web ブラウザーを使用している場合は、安全でない Web サイトにアクセスするだけで感染する可能性があることを留意する。

    removal instructions

    以下の手順は、Symantec AntiVrusおよびNorton AntiVirus製品シリーズも含め、現在サポート対象となっているすべてのシマンテック・アンチウイルス製品のお客様を対象にして記述されています。

    1. ウイルス定義を最新版に更新します。
    2. ご使用のOSに応じて次のいずれかを行います。
      • Windows 95/98/Me: コンピュータをセーフモードで再起動。
      • Windows NT/2000/XP: トロイの木馬のプロセスを停止。
    3. システム全体のスキャンを実行し、Backdoor.Dvldrとして検出されたファイルをすべて削除します。
    4. トロイの木馬によってレジストリに行われた変更を元に戻します。

    具体的な手順については、以下のセクションをご覧ください。

    1. ウイルス定義を最新版に更新する

    ウイルス定義ファイルはすべて、Symantec Security Responseによる完全品質保証テストを通過した後で弊社サーバーにアップロードされています。最新版のウイルス定義は次の2通りの方法で入手できます。

    • LiveUpdateを実行する方法。LiveUpdateTM は、ウイルス定義ファイルと製品アップデートを最も手軽に入手いただける方法です。LiveUpdateを通じて配布されているウイルス定義ファイルは、Symantec Security Responseの完全品質保証テストを通過後、危険度の高いウイルスが出現した場合を除き、通常は毎週水曜日にLiveUpdateTM サーバーにアップロードされます。この脅威に対応するウイルス定義がLiveUpdateを通じて入手可能かどうかを判断するには、ページ上部に記載の「対応日(LiveUpdate）」欄の日付をご覧ください。
    • Intelligent UpdaterTM を使用してウイルス定義をダウンロードする方法。Intelligent UpdaterTM を通じて配布しているウイルス定義ファイルは、Symantec Security Response（シマンテック・セキュリティ・レスポンス）による完全な品質保証検査を通過後、米国時間の平日（月曜日〜金曜日）に随時、更新、アップロードされています。Intelligent UpdaterTM によるウイルス定義ファイルは、Symantec Security ResponseのWebサイトからダウンロードし、手動でインストールする方法でのみご利用いただけます。この脅威に対応するウイルス定義がIntelligent Updaterを通じて入手可能かどうかを判断するには、ページ上部に記載の「対応日(Intelligent Updater）」欄の日付をご覧ください。

      Intelligent Updaterのウイルス定義は、こちらからダウンロードいただけます。Intelligent UpdaterTM を使用してウイルス定義ファイルをダウンロード、インストールする方法については、こちらをクリックしてください。


    2. セーフモードで再起動する／動作中のプロセスを終了させる方法

    Windows 95/98/Meをお使いの場合:
    コンピュータをセーフモードで再起動します。Windows NT以外のすべてのWindows 32-ビットOSはセーフモードで再起動することができます。具体的な手順については、"Windows 9x または Windows Me をセーフモードで起動する方法"をご覧ください。

    Windows NT/2000/XPをお使いの場合:
    トロイの木馬のプロセスを停止するには:

    1. Ctrl+Alt+Deleteキーを同時に押します。
    2. [タスクマネージャ]をクリックします。
    3. [プロセス]タブをクリックします。
    4. リスト最上部のイメージ名をダブルクリックしてプロセスをアルファベット順に並ベ替えます。
    5. リストをスクロールして、以下のファイル名を探します。
      • explorer.exe (先頭が小文字で始まっている名前の項目がAT&T VNCサーバーアプリケーションです。
      • rundll32.exe
    6. 該当するファイルを発見したら、それをクリックして[プロセスの終了]をクリックします。
    7. タスクマネージャを閉じます。


    3. 感染ファイルを探して削除する

    1. Norton AntiVirus (NAV)を開き、すべてのファイルがスキャン対象として設定されているか確認します。
    2. システム全体のスキャンを実行します。
    3. Backdoor.Dvldrに感染しているファイルが検出されたら、[削除]をクリックします。


    4.トロイの木馬によってレジストリに行われた変更を元に戻すには

    注意：システムレジストリに変更を行なう際には、事前にバックアップを作成することを強くお勧めします。レジストリに不適切な変更を行なうと、データの喪失やファイルの破損など修復不可能な問題が生じる可能性があります。指定されたキーのみを修正するよう注意してください。レジストリの編集作業を始める前に必ず「レジストリのバックアップ方法」をお読みください。

    1. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。（[ファイル名を指定して実行]ダイアログボックスが表示されます。）
    2. regeditと入力します。

      その後、[OK]をクリックします。（レジストリ エディタが開きます。）
    3. 次のレジストリキーを選択します。

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

    4. 画面右側で、次の値を削除します。

      Explorer %windows%\Fonts\explorer.exe
      TaskMan %windows%\Fonts\rundll32.exe

    5. レジストリエディタを終了します。