McAfee for Small Businesses

ウイルス名 危険度 FakeAlert-IS2010.dldr 企業ユーザ: 低 個人ユーザ: 低 種別 トロイの木馬 最小定義ファイル (最初に検出を確認したバージョン) 5853 対応定義ファイル (現在必要とされるバージョン) 5881　（現在7109) 対応エンジン 5.2.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 別名 Kaspersky - Trojan-Downloader.Win32.FraudLoad.wxvs Norman - W32/Smalltroj.WIRF NOD32 - Win32/TrojanDownloader.FakeAlert.AED Microsoft - Trojan:Win32/Malagent 情報掲載日 2010/02/05 発見日（米国日付） 2010/01/06 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 06/17 RDN/Sdbot.bf... 06/17 VBS/LoveLett... 06/17 Generic Qhos... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7109  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る -- 2010年2月4日更新 -- ・実行時、以下の場所に自身をコピーします。 %WinDir%\system32\smss32.exe %WinDir%\system32\winlogon32.exe ・以下のファイルをドロップ（作成）します。 %WinDir%\system32\helper32.dll %WinDir%\system32\IS15.exe %WinDir%\system32\warning.html [JS/FakealertKryptikという名前で検出] ・以下のレジストリキーがシステムに追加されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\buy-internet-security10.com] [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\buy-internet-security10.com] [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\is-soft-download.com] [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\is-software-download25.com] ・以下のレジストリ値が追加されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\] "NoSetActiveDesktop:" = "0x00000001" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\] "NoActiveDesktopChanges:"= "0x00000001" [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\] "NoSetActiveDesktop:" = "0x00000001 " [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\] "NoActiveDesktopChanges:"= "0x00000001" ・ユーザが偽のアラートを表示する壁紙を変更できないようにするため、以下のレジストリ値がFakeAlert-IS2010.dldrによって追加されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ActiveDesktop\] "NoChangingWallpaper:" = "0x00000001" [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\] "NoChangingWallpaper:" ="0x00000001" ・タスクマネージャを無効にするため、以下のレジストリ値がFakeAlert-IS2010.dldrによって追加されます。 [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Policies\System\] "DisableTaskMgr: = 0x00000001" ・Windowsが起動するたびに自身を実行するRUN項目を登録します。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] “smss32.exe: “ = “%WinDir%\system32\smss32.exe” [HKEY_USERS\S-1-(可変)\Software\Microsoft\Windows\CurrentVersion\Run\] “smss32.exe:” = "%WinDir%\system32\smss32.exe" ・以下のレジストリ値が改変されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\] "Userinit:" = "%WinDir%\system32\winlogon32.exe" ・上記のレジストリ項目により、Windowsが起動されるたびにFakeAlert-IS2010.dldrが実行されるようにします。 [HKEY_USERS\S-1-(可変)\Software\Microsoft\Internet Explorer\Desktop\General\] Wallpaper: "%WinDir%\system32\warning.html" ・上記のレジストリにより、偽のアラートを表示する背景画像を設定します。 注：- [%WinDir%はWindowsフォルダ。例：C:\Windows] ------------------------------------------------------------------------------------------------------- ファイルプロパティ ファイルサイズ : 67,584バイト MD5 : 7C874B52EEE7196EF96DC8710B957033 SHA1 : 927D84687C7246C4AEB43B6FDC534D6BFA8E23A9 別名 Kaspersky : Backdoor.Win32.Bredolab.bvb Symantec : Trojan.Bredolab Microsoft : TrojanDownloader:Win32/Bredolab.AB AhnLab :Win-Trojan/Bredolab.67584.B ・FakeAlert-IS2010.dldrは、実行時、偽のアラートを表示して、ユーザにマルウェアの問題を「修復する」製品を購入させようとします。 ・以下の場所に自身をコピーします。 %Temp%\~TM163.tmp %Programs%\Startup\rarype32.exe ・また、以下のファイルをドロップ（作成）します。 %AppData%\avdrn.dat ・svchost.exeに挿入し、リモートポート4455を使って、「dollardr[削除]m.ru」に接続します。 ・ユーザのシステムが乗っ取られると、偽のマルウェア対策ソフトウェアをダウンロードし、システムが感染していると警告し、乗っ取ったユーザに偽のマルウェア対策ソフトウェアをオンラインで購入させようとします。 （%Temp%はテンポラリフォルダ、%Programs%はC:\Documents and Settings\[ユーザ名]\Start Menu\Programs、%AppData%はC:\Documents and Settings\[ユーザ名]\Application Data） 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る 上記のファイルが存在します。 上記のサイトへの予期しないネットワーク接続が存在します。 偽のバルーンヒントが表示されます。 感染方法 TOPへ戻る ・FakeAlert-IS2010.dldrは悪質なWebページにアクセスするとインストールされます。また、他のウイルスやトロイの木馬によってダウンロードされ、インストールされる可能性もあります。 ・さらに、インターネットからダウンロードしたバンドルソフトと一緒にインストールされる可能性があります。 駆除方法 TOPへ戻る ■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 Windows ME/XPでの駆除についての補足