ウイルス情報

ウイルス名 危険度

OSX/HellRTS

企業ユーザ: 低
個人ユーザ: 低
種別 トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
5959
対応定義ファイル
(現在必要とされるバージョン)
5959 (現在7656)
対応エンジン 5.4.00以降 (現在5600) 
エンジンバージョンの見分け方
別名 Backdoor.OSX.Reshe.a [Kaspersky]Backdoor:OSX/HellRTS.A [F-Secure]OSX.HellRTS [Symantec]Trojan.OSX.HellRTS [Ikarus]
情報掲載日 2010/04/22
発見日(米国日付) 2010/04/21
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

概要

・OSX/HellRTSはサーバコンポーネント、クライアントコンポーネント、サーバエディタコンポーネントで構成されるリモートアクセス型トロイの木馬です。ファイル名、使用されるポート番号などの特徴は攻撃者の設定によって異なります。よって、ここでは一般的な特徴を説明します。

TOPへ戻る

ウイルスの特徴

サーバコンポーネント

・サーバコンポーネントがユーザのマシンで実行されると、あらかじめ設定されているポートを開き、攻撃者からの接続を待機します。

・また、ターゲットのIPアドレス、マルウェアが受信待機しているポートに関する通知を攻撃者に送信します。この情報を入手した攻撃者は、クライアントコンポーネントを使ってターゲットにリモート接続できます。

サーバエディタコンポーネント

・攻撃者は、サーバエディタコンポーネントを使用して、サーバコンポーネントを作成/編集します。

・サーバエディタコンポーネントで利用可能な機能の一例は以下のとおりです。

  • サーバコンポーネントのファイル名の変更
  • 通知方法の選択(電子メール、FTPなど)

これにより、攻撃者がターゲットにリモート接続できるよう、ターゲットの名前とIPアドレスを攻撃者に通知します。

  • OSX/HellRTSが受信接続の受信待機を行うポート番号の変更
  • マシンの再起動時にOSX/HellRTSが自動的に起動するためのスタートアップ方法の選択

・サーバエディタコンポーネントのスクリーンショットの一例は以下のとおりです。

クライアントコンポーネント

・クライアントコンポーネントは攻撃者のコンピュータ上で動作し、ターゲットマシンのサーバコンポーネントにリモート接続します。

・攻撃者が利用可能な機能の一例は以下のとおりです。

  • プロセスマネージャ(実行中のプロセスの一覧表の作成、強制終了)
  • ファイルマネージャ(一覧表の作成、アップロード、ダウンロード、削除)
  • チャットボックスの起動およびターゲットとのチャット
  • ターゲットマシンでのいたずら(CD-ROMの開閉、ビデオ/サウンドの再生)
  • クリップボードの内容の読み取り/改変
  • デストップのログオフ、再起動、終了

・OSX/HellRTSのクライアントコンポーネントのスクリーンショットは以下のとおりです。

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・上記のファイルが存在します。

TOPへ戻る

感染方法

・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。トロイの木馬が届く原因には、セキュリティ対策が不十分、マシンに修正プログラムが適用されていない、システムが脆弱といった理由が考えられます。

・IRC、ピアツーピアネットワーク、電子メール、ニュースグループへの投稿などを通じて配布されます。

TOPへ戻る

駆除方法

■最新のエンジンとウイルス定義ファイルの組み合わせで、検出・駆除してください。McAfee Labs は、見慣れたもしくは安全に見えるファイルアイコン(特に、ユーザーがファイルを共有できるP2Pクライアント、IRC、E-mailまたはその他のメディアから受け取ったファイルを)を信用しないことを推奨します。

Windows ME/XPでの駆除についての補足

TOPへ戻る