McAfee for Small Businesses

ウイルス名 危険度 FakeAlert-WinwebSecurity.c 企業ユーザ: 低 個人ユーザ: 低 種別 トロイの木馬 最小定義ファイル (最初に検出を確認したバージョン) 5636 対応定義ファイル (現在必要とされるバージョン) 5953　（現在7084) 対応エンジン 5.3.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 情報掲載日 2010/04/22 発見日（米国日付） 2009/06/04 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/22 W32/Virut.ge... 05/22 W32/Duel!962... 05/22 W32/Duel!EC1... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7084  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る ・実行時、FakeAlert-WinwebSecurity.cは以下のレジストリキーを作成します。 HKEY_USERS\S-1-5-21-602162358-1897051121-839522115-1003_Classes\.exe HKEY_USERS\S-1-5-21-602162358-1897051121-839522115-1003_Classes\secfile HKEY_CURRENT_USER\Software\Classes\.exe HKEY_CURRENT_USER\Software\Classes\secfile HKEY_CLASSES_ROOT\.exe HKEY_CLASSES_ROOT\secfile ・以下のレジストリ値がシステムに追加されます。 [HKEY_CURRENT_USER\Software\Microsoft\Windows "Identity"] データ： 8A, 53, 5C, F6 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DisableNotifications"] データ： 01, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DoNotAllowExceptions"] データ： 00, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "EnableFirewall"] データ： 00, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DisableNotifications"] データ： 01, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DoNotAllowExceptions"] データ： 00, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DisableNotifications"] データ： 01, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DoNotAllowExceptions"] データ： 00, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "EnableFirewall"] データ： 00, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DisableNotifications"] データ： 01, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DoNotAllowExceptions"] データ： 00, 00, 00, 00 ・以下のレジストリ値が改変されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command "(既定)"] 改変後のデータ： "C:\Documents and Settings\%User%\Local Settings\Application Data\ave.exe" /START "C:\Program Files\Intern [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center "AntiVirusOverride"] 改変後のデータ： 01, 00, 00, 00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center "FirewallOverride"] 改変後のデータ： 01, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess "Start"] 改変後のデータ： 04, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Epoch "Epoch"] 改変後のデータ： 2D, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess "Start"] 改変後のデータ： 04, 00, 00, 00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch "Epoch"] 改変後のデータ： 2D, 00, 00, 00 ・以下のファイルがFakeAlertによってドロップ／作成されます。 c:\Documents and Settings\All Users\Application Data\A28k41 (サイズ： 9,234バイト) c:\Documents and Settings\%user%\Local Settings\Application Data\A28k41 (サイズ： 9,234バイト) c:\Documents and Settings\%user%\Local Settings\Application Data\ave.exe (サイズ： 179,712バイト) c:\Documents and Settings\%user%\Local Settings\Temp\A28k41 (サイズ： 9,234バイト) c:\Documents and Settings\%user%\Templates\A28k41 (サイズ： 9,234バイト) ・FakeAlertは以下のセキュリティセンターをロードし、ファイアウォールまたはウイルス対策がインストールされていないことをユーザに通知します。これはユーザをだまして偽のスキャンソフトウェアを購入させようとする偽のセキュリティセンターです。 ・このセキュリティセンターがロードされると、FakeAlertはユーザのハードディスクドライブの偽のスキャンを開始し、マシンが複数のマルウェアファイルに感染しているとユーザに通知します。 ・偽のスキャンが完了すると、以下の画面が表示され、マシンが感染していると偽り、ユーザをだましてソフトウェアを購入させようとします。ユーザをだまして「YES」をクリックさせ、Fake Alertソフトウェアを購入させるため、「NO」ボタンの位置が入れ替えられています。 ・ユーザがFake Alertを閉じると、マシンが攻撃を受けており、保護が必要だと偽るポップアップメッセージをタスクバーに表示し続けます。 ・以下のドメインにアクセスする可能性があります。 inationalsec[削除].com yoursecuri[削除].com internetsec[削除].com bestpath[削除].com networksecuri[削除].com blacksecuri[削除].com netsecur[削除].com retailsec[削除].com retailsec[削除].com getsecurity[削除].com one-care-antivi[削除].com security[削除].com security-[削除].com live-pc[削除].com security-pc[削除].com totalsecurity[削除].com pc-live[削除].com security[削除].com securitypcc[削除].com 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る システムがひどく感染しているかのような偽の警告を表示します。 レジストリを改変します。 ユーザをだまし、偽のウイルス対策ソフトウェアの購入を促します。 感染方法 TOPへ戻る ・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。IRC、ピアツーピアネットワーク、ニュースグループへの投稿、スパムメールなどを通じて配布されます。 駆除方法 TOPへ戻る ■指定のエンジンとウイルス定義ファイルを使用して、検出して下さい。検出されたすべてのファイルを削除してください。 Windows ME/XPでの駆除についての補足