Backdoor.Trojan は、一般的なバックドア型トロイの木馬に対する汎用検出名です。Backdoor.Trojan として検出されるトロイの木馬はいずれも、それが埋め込まれたコンピュータに第三者がユーザに無断でアクセスできるようにするという点で共通しています。

種別: トロイの木馬

対応日(Intelligent Updater)* 98/01/26(米国時間) * Intelligent Updaterを通じたウイルス定義は随時更新されていますが、そのダウンロードとインストールは手動で行う必要があります。 ** LiveUpdateを通じたウイルス定義は毎週水曜日(米国時間)に更新されています。 LiveUpdateの使い方については、こちらをクリックしてください。

被害状況 感染台数: 1000以上 報告件数: 10以上 地域感染度: 高 対処レベル: 高 駆除: 普通

危険性評価グラフ 被害状況: 中 ダメージ: 中 感染力: 低

ダメージ

• 発病症状:
  • ファイル改ざん: システム ファイルを自分自身が確実に実行されるように改変する。
    
  • 秘密情報の漏洩: コンピュータ上の極秘情報にハッカーが不正アクセスする恐れがある。
    
  • 不正アクセス: ハッカーによるコンピュータへの不正アクセスを可能にする。
    

Backdoor.Trojan が実行されると \Windows または\Windows\System フォルダに自分自身のコピーを作成します。通常は、１つまたは複数の共通読み込みポイントを使用することによって、ユーザが Windows を起動するときにバックドアトロイの木馬が確実に実行されるようにします。共通読み込みポイントの詳細については、Common loading points for Trojan horse programs（英語）をご覧ください。

Backdoor.Trojan は、標的となったコンピュータにハッカーがユーザに無断でアクセスできるようにするバックドアを開きます。

この種のトロイの木馬の中には、初回実行時に偽のエラー メッセージを表示するものがあります。これは、プログラムに欠陥があるとユーザに思わせるための罠で、その間に、トロイの木馬はバックグラウンドで動作し、そのシステムのセキュリティを低下させてしまいます。

Symantec Security Response では、すべてのユーザと管理者の皆様に対し、基本的なオンライン・セキュリティ対策として日常的に次のことを実行することを奨励しています。

• 不必要なサービスをすべて無効化するか、あるいは削除する。OS の多くは標準で、FTP クライアント、telnet、Web サーバーなどコンピュータの操作に必ずしも必要ではない付加的なサービスをインストールします。そのような付加的サービスは、攻撃の侵入経路として利用されることが多いため、無効化あるいは削除することによって、攻撃経路をその分少なくすることができ、パッチ適用時にも更新が必要なサービス数を減らすことができます。
  
• 1つ、あるいは複数のネットワークサービスが複合型脅威の攻撃を受けた場合には、パッチを適用するまでの一時的な回避策として、攻撃を受けているサービスをオフにするか、そのサービスへのアクセスを遮断する。
  
• 常に最新のパッチを適用しておく。特に、公開サービスをホストしていたり、HTTP、FTP、メール、DNS サービスなど、ファイアウォールを介してアクセス可能にしているコンピュータに対しては必ず最新パッチを適用しておくよう心がけてください。
  
• パスワード・ポリシーの徹底。複雑なパスワードを設定しておけば、セキュリティが低下したコンピュータ上に保存しているパスワードファイルの解読を困難にすることができます。また、攻撃を受けた場合でも被害を防止あるいは最小限に抑えることができます。
  
• メールサーバーを、ウイルスが感染拡大を試みる際によく使用するファイル拡張子(.vbs、.bat、.exe、.scr など)が付いた添付ファイルを含むメールをブロックあるいは削除するように設定しておく。
  
• ネットワーク接続しているコンピュータが感染した場合は、他のコンピュータへの感染拡大を防止するために、そのコンピュータをすみやかにネットワークから切り離し、その後、被害を受けたコンピュータに対し被害状況の分析を行ない、信頼できるメディアを使って復旧を図る。
  
• 従業員に対し、次のことを徹底させる。
  
  • 予期せぬメールが届いた場合には添付ファイルを絶対に開かない。
    
  • インターネットからダウンロードしたソフトウェアについては、必ずウイルススキャンを実行し、問題がないことが確認できるまでは絶対に起動しない。
    
  • 既知のセキュリティホールに対応するパッチが適用されていない Web ブラウザーを使用している場合は、安全でない Web サイトにアクセスするだけで感染する可能性があることを留意する。
    

Backdoor.Trojan を駆除するためには、次のことを行う必要があります。

1. LiveUpdateを実行し、ウイルス定義を最新版に更新します。
   
2. Norton AntiVirus (NAV)を開き、すべてのファイルがスキャン対象として設定されているか確認します。
   
   
   • 個人のお客様向けNAV製品をお使いの場合（パッケージ製品）：詳しくは、"How toconfigure Norton AntiVirus to scan all files"（英語）をご覧ください。
     
   • 企業・法人のお客様向けNAV製品をお使いの場合（ライセンス製品）：詳しくは、"Norton AntiVirus Corporate Edition ですべてのファイルがウイルススキャンされるように設定する方法"をご覧ください。
     
     
   
   
3. システム全体のスキャンを実行し、Backdoor.Trojan として検出されたファイルをすべて削除します。
   
4. Windows レジストリに追加された感染ファイルを参照しているレジストリ値をすべて削除します。
   
5. (Windows 95/98/Me のみ) Win.ini および System.ini ファイルに追加された感染ファイルを参照している部分をすべて削除します。
   
   

具体的な手順は、以下のセクションをご覧ください。

注意：以下で説明している手順は複雑な作業を伴います。もしあなたがWindowsやDOSの基本的な操作方法に精通していない場合は、コンピュータの専門家に作業を依頼することをお勧めします。

LiveUpdateの実行方法

1. Norton AntiVirusを起動します。
   
2. [LiveUpdate]をクリックして、指示に従います。詳細は、LiveUpdateの実行方法をご覧ください。
   

NAVによるスキャン実行方法

1. Norton AntiVirus (NAV)を開き、すべてのファイルがスキャン対象として設定されていることを確認し、システム全体のスキャンを実行します。詳細については、What to do if you suspect that your computer is infected with a virus, worm, or Trojan（英語）をご覧下さい。
   
2. Backdoor.Trojanに感染しているとしてファイルが検出されたら、最初にそのファイル名と保存場所を書きとめ、その後、[削除]を選択します。この情報は、次のセクションで説明している作業を行う際に必要となります。
   
   注意：
   

• Backdoor.Trojan として検出されたファイルを Windows が使用中の場合、ユーザはそのファイルを削除することはできません。その場合、コンピュータをセーフモードで再起動し、再度スキャンを実行してください(Windows NT 以外のWindows 32ビット オペレーティング システムはすべて、セーフモードで再起動することができます) 。セーフモードで起動する手順については、ご使用のオペレーティング システムに応じて次のいずれかのドキュメントをご覧ください。
  
  
  • Windows XPをセーフモードで起動する方法
    
  • Windows 2000　をセーフモードで起動する方法
    
  • Windows 9x または Windows Me をセーフモードで起動する方法
    
    
• ファイル名を書きとめるかわりに、Norton AntiVirusの活動ログを印刷してもかまいません。このログには、検出されたファイルのファイル名と場所、そのファイルに対して行われた操作に関する情報が含まれています。

このログを表示して印刷するには：

1. NAVのメイン画面を開いたままの状態で、[レポート]をクリックします。
   
2. [Norton AntiVirus 活動のログを表示します。]をダブルクリックするか、あるいは、[活動ログ]の隣の[レポートを表示]をクリックします。
   
3. [印刷]をクリックします。
   

レジストリの編集方法：

注意：システムレジストリに変更を行なう際には、事前にバックアップを作成することを強くお勧めします。レジストリに間違った変更を行なうと、データの喪失やファイルの破損など修復不可能な問題が生じる可能性があります。指定されたキーのみを修正するよう注意してください。レジストリの編集作業を始める前に必ず、"レジストリのバックアップ方法"をお読みください。

1. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。[ファイル名を指定して実行]ダイアログボックスが表示されます。
   
2. regeditと入力し、[OK]をクリックします。レジストリ エディタが開きます。
   
3. 次のレジストリキーを選択します。
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   
   
4. 前述のセクションで説明している作業を行った際に記録しておいた感染ファイルのリストを参照しながら、画面右側の[名前]と[データ]欄に、該当するファイル名が含まれている値を探します。
   
5. 感染ファイルとして検出されたファイルを参照する値を発見したら、その値を選択してDeleteキーを押し、削除の確認メッセージが表示されたら[はい]をクリックして削除を確定します。
   
6. 次のキーを選択します。
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
   
   
7. 前述のセクションで説明している作業を行った際に記録しておいた感染ファイルのリストを参照しながら、画面右側の[名前]と[データ]欄に、該当するファイル名が含まれている値を探します。
   
8. 感染ファイルとして検出されたファイルを参照する値を発見したら、その値を選択してDeleteキーを押し、削除の確認メッセージが表示されたら[はい]をクリックして削除を確定します。
   
9. レジストリ エディタを終了します。
   

Windowsスタートアップファイルの編集方法

• このセクションで説明している手順は、Windows 95/98/Meをご使用の場合にのみ行ってください。Windows NT/2000をご使用の方は、このセクションでの作業を行う必要はありません。
  
• （Windows Meをご使用のお客様のみ）Windows Meをご使用の場合、そのファイル保護機能によって、このセクションで編集するファイルのバックアップコピーがC:Windows\Recentフォルダ内に自動的に作成されます。このセクションで説明している作業を行う際には、最初にそのファイルを削除しておくことをお勧めします。Windowsエクスプローラを使って削除を行う場合は、C:\Windows\Recentフォルダを表示し、画面右側からWin.iniフィルを選択し、それを削除してください。そのファイルに行った変更を保存するときに編集したファイルのコピーが再度作成されます。
  

1. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。
   
2. 次のコマンドを入力し、[OK]をクリックします。
   
   edit c:\windows\win.ini
   
   MS-DOSエディタが開きます。
   
   注意：Windowsを上記以外の場所にインストールしていた場合は、パスの部分を適宜置き換えてください。
   
   注意：以下の作業では、Win.iniファイルのload=行およびrun=行からテキストを削除することになります。旧版のプログラムの中には、システム起動時にこれらの行のいずれかから起動されている可能性があるため、旧版のプログラムをお使いの方はご注意ください。トロイの木馬は、これらのファイルにload=c:\windows\temp\pkg2350.exe や run=hpfsched <空白スペース> msrexe.exe（hpfschedは正規のプログラムですが、msrexe.exeはトロイの木馬の一部です。）のように、システム起動時に自分自身を実行するための命令を追加する可能性があります。
   
   これらの行に含まれているテキストが通常使っているプログラムをロードするためのものであるという確信がある場合は、その行は削除しないことをお勧めします。確信はないけれども、前述の作業で書き留めておいたファイル名が含まれていない場合は、その行の先頭にセミコロン(;)を追加することによってその行の命令が読み込まれることを防ぐことができます。例えば、run=accounts.exeの場合は、次のようにセミコロンを追加します。
   
   ; run=accounts.exe
   
   
3. Win.ini ファイルの[windows]セクション内でload=行を探します。通常はファイルの最上部付近にあります。
   
4. カーソルを =（イコール記号）のすぐ右側に移動します。
   
5. Shift+Endキーを押して = の右側にあるテキストをすべて選択し、Deleteキーを押して削除します。
   
6. run= 行を探し、手順3〜手順5を行います。run= 行は通常、load= 行の下にあります。
   
7. [ファイル]-[終了]を選択し、変更の確認メッセージが表示されたら[はい]をクリックします。
   
8. [スタート]ボタンをクリックし、[ファイル名を指定して実行]をクリックします。
   
9. 次のコマンドを入力し、[OK]をクリックします。
   
   edit c:\windows\system.ini
   
   MS-DOSエディタが開きます。
   
   注意：Windowsを上記以外の場所にインストールしていた場合は、パスの部分を適宜置き換えてください。
   
   
10. System.iniファイルの[boot]セクション内にある、shell=explorer.exe で始まる行を探します。 このセクションは通常、ファイルの最上部付近にあります。
    
11. カーソルを explorer.exe のすぐ右側に移動します。
    
12. Shift+Endキーを押してexplorer.exeの右側にあるテキストをすべて選択し、Deleteキーを押します。
    
    注意：コンピュータによっては、shell=の後にExplorer.exe以外のエントリが含まれる場合があります。その場合に該当し、かつ、別のWindowsシェルを実行している場合、shell=行を一時的にshell=explorer.exeに変更し、駆除作業が完了した時点で元のシェルに戻してください。
    
    
13. [ファイル]-[終了]を選択し、変更の確認メッセージが表示されたら[はい]をクリックします。
    
    これで駆除作業が完了したことになります。この後、NAVを開き、（以前にスキャンを実行していた場合でも）システムの完全スキャンを再度実行し、Backdoor.Trojanに感染しているファイルが検出された場合は該当ファイルをすべて削除してください。スキャンが終わったら、コンピュータを再起動してください。
    

追加情報：

Norton Internet Security/Norton Internet Protection をお使いのお客様へ：

Norton Internet Security または Norton Internet Protection をご使用の場合、トロイの木馬遮断規則がユーザのコンピュータにトロイの木馬がダウンロードされるのを防ぐために使用している名称と、同じトロイの木馬がユーザのコンピュータ上で実際に実行されたり、電子メールで受信した場合にNorton AntiVirus が検出したときに使用する名称は異なることにご注意ください。

Norton Internet Security/Norton Internet ProtectionがBackdoor.Trojanの侵入を防ぐために使用している遮断規則名は以下の通りです。

Hack A Tack, Girlfriend, Filenail, DeepThroat, Coma, Bugs, Backdoor/SubSeven