ウイルス情報

ウイルス名 危険度

BackDoor-DOQ.gen.e

企業ユーザ: 低
個人ユーザ: 低
種別 トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
5635
対応定義ファイル
(現在必要とされるバージョン)
5645 (現在7628)
対応エンジン 5.2.00以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日 2009/07/21
発見日(米国日付) 2009/06/03
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

概要

・BackDoor-DOQ.gen.eは、IRCへの接続、リモートサイトからのさらなるマルウェアのダウンロード、USBおよびネットワーク共有を介した拡散など、さまざまな脅威をもたらします。

TOPへ戻る

ウイルスの特徴

・以下は一般的なパス変数の既定値です。(異なる場合もありますが、一般的には以下のとおりです。)
%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000)
%SystemDir% = \WINDOWS\SYSTEM (Windows 98/ME), \WINDOWS\SYSTEM32 (Windows XP/Vista), \WINNT\SYSTEM32 (Windows NT/2000)
%ProgramFiles% = \Program Files

・実行時、%SysDir%フォルダにsmsg.exeという名前の自身のコピーを作成して実行します。また、%SysDir%\driversフォルダにドライバファイルであるsysdrv32.sysを作成します。このファイルはGeneric Rootkit.gという名前で検出されます。

・TCPポ―ト80でリモートホストであるb.vsxxxx.comに接続し、以下のファイルをダウンロードします。

  • %USERPROFILE%\local settings\temp\76.exe

・さらに、%SysDir%フォルダに自身をコピーします。

  • %SysDir%\00.scr
  • %SysDir%\04.scr
  • %SysDir%\06.scr
  • %SysDir%\07.scr
  • %SysDir%\08.scr
  • %SysDir%\10.scr
  • %SysDir%\11.scr
  • %SysDir%\12.scr
  • %SysDir%\13.scr
  • %SysDir%\14.scr
  • %SysDir%\15.scr
  • %SysDir%\16.scr
  • %SysDir%\77.scr

・システム起動時に自身を起動するため、以下のレジストリ項目を作成します。

  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    Windows System Spooler = %SysDir%\smsg.exe
  • HKEY_LOCAL_MACHINE\CurrentControlSet\Control\SafeBoot\Minimal\SVCWINSPOOL
    (既定) = "Service"
  • HKEY_LOCAL_MACHINE\CurrentControlSet\Control\SafeBoot\Network\SVCWINSPOOL
    (既定) = "Service"

・ファイアウォールを回避するため、以下のレジストリ項目を作成します。

  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List %SysDir%\smsg.exe "%SysDir%\smsg.exe:*:Microsoft Enabled"

・リムーバブルドライブにlan.exeという名前の自身のコピーとautorun.infファイルを作成し、ネットワーク共有、リムーバブルドライブを介して拡散します。これにより、リムーバブルドライブを使用するシステムがAutorunに設定されている場合、マルウェアが自動的に実行されます。

・TCPポート988でリモートホストであるb.vsxxxx.comで動作しているIRCサーバに接続し、以下のように制御サーバからのコマンドの受信待機を行います。

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・BackDoor-DOQ.gen.eのファイル、レジストリ、ネットワーク通信については、「ウイルスの特徴」を参照してください。

TOPへ戻る

感染方法

・BackDoor-DOQ.gen.eはリムーバブルドライブ、ネットワーク共有に感染して拡散します。

TOPへ戻る

駆除方法

■最新のエンジンとウイルス定義ファイルの組み合わせで、検出・駆除してください。McAfee Labs は、見慣れたもしくは安全に見えるファイルアイコン(特に、ユーザーがファイルを共有できるP2Pクライアント、IRC、E-mailまたはその他のメディアから受け取ったファイルを)を信用しないことを推奨します。

Windows ME/XPでの駆除についての補足

TOPへ戻る