McAfee for Small Businesses

ウイルス名 危険度 Exploit-PDF.q.gen!stream 企業ユーザ: 低[要注意] 個人ユーザ: 低[要注意] 種別 トロイの木馬 最小定義ファイル (最初に検出を確認したバージョン) 5635 対応定義ファイル (現在必要とされるバージョン) 5852　（現在7077) 対応エンジン 5.3.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 別名 Exploit.JS.Pdfka.aek (Kaspersky)Exploit:Win32/Pdfjsc.gen!A (Microsoft) 情報掲載日 2010/02/26 発見日（米国日付） 2009/05/30 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/15 ZeroAccess!5... 05/15 VBS/LoveLett... 05/15 RDN/Generic ... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7077  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る -- 2010年2月26日更新 ---- ファイル情報 MD5 - 14BED33B450C3804B8731741FFE12C18 SHA - 543D3B119C39158C918C7988C43503B38F0F1D2C ・Exploit-PDF.q.gen!streamには、高度に暗号化され、PDFファイルの実行後に以下の場所にトロイの木馬をダウンロードするJavaScriptが組み込まれています。 %WinDir%\windex.exe %WinDir%\winup.exe [上記のファイルは名前が異なる同じコピーです。] ・ダウンロードされたトロイの木馬は乗っ取ったユーザの物理アドレス（MACアドレス）を盗み出し、リモート攻撃者に送信します。 ・また、「updates.bcc[削除].net」に接続します。 [%WinDir%はWindowsフォルダ。例：C:\Windows] -- 2010年1月5日更新 -- ・以下のWebサイトで注目されたため、危険度を[低（要注意）]に変更しました。 http://www.theregister.co.uk/2010/01/04/adobe_reader_attack/ -- 2010年1月4日更新 -- ・本日、Adobe Acrobat Readerの別の脆弱性を利用した新しいPDFファイルが発見されました。ファイルを実行すると、Adobe Doc.media.newPlayer()スタックオーバーフローの脆弱性（CVE-2009-4324）を利用します。 ・ Exploit-PDF.q.gen!streamは2つのファイルをシステムにドロップ（作成）し、Adobe Readerプロセスをクラッシュさせます。ドロップされるファイルは以下のとおりです。 . %TEMP%\temp.exe . %WINDOWS%\system32\hepfixs.exe （%TEMP%はログイン中のユーザのテンポラリフォルダ、%WINDOWS%はWindowsのインストールフォルダ） ・これらのファイルはすでに W32/IRCbot.worm、Generic Dropper.opという名前で検出されます。システムでデータ実行防止（DEP）が有効な場合、Exploit-PDF.q.gen!streamは機能しませんでした。この構成はWindows XP SP2およびSP3ではデフォルトでオンになっています。この場合、検出された動作はAdobeプロセスのクラッシュだけでした。 -- ・Exploit-PDF.q.gen!streamはAdobe Readerの脆弱性を利用しようとする*.PDFファイル形式のトロイの木馬です。 ・実行されると、AdobeのgetIcon()のスタックオーバーフローの脆弱性（CVE-2009-0927）を利用します。以下のURLに接続します。 hxxp://www.motionvm.com/[非表示] ・Generic.dx!gsiなどの名前で検出されるトロイの木馬をダウンロードします。 ・この脆弱性に関する詳細はAdobeが公開した情報を参照してください。 http://www.adobe.com/support/security/bulletins/apsb09-04.html 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る ・上記のURLへのネットワークトラフィックが存在します。 感染方法 TOPへ戻る ・この不正なPDFファイルは電子メールで送信またはリモートサイトからダウンロードされます。 駆除方法 TOPへ戻る ■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 Windows ME/XPでの駆除についての補足