製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報:H
ウイルス情報
ウイルス名危険度
OSX/HellRTS
企業ユーザ:
個人ユーザ:
種別トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
5959
対応定義ファイル
(現在必要とされるバージョン)
5959 (現在7401)
対応エンジン5.4.00以降 (現在5600) 
エンジンバージョンの見分け方
別名Backdoor.OSX.Reshe.a [Kaspersky]Backdoor:OSX/HellRTS.A [F-Secure]OSX.HellRTS [Symantec]Trojan.OSX.HellRTS [Ikarus]
情報掲載日2010/04/22
発見日(米国日付)2010/04/21
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
03/31RDN/Generic....
03/31StartPage-NY...
03/31PWS-Banker.g...
定義ファイル・エンジンの
ダウンロード!
  定義ファイル:7401
 エンジン:5600
 
ウイルス検索
 


概要TOPに戻る

・OSX/HellRTSはサーバコンポーネント、クライアントコンポーネント、サーバエディタコンポーネントで構成されるリモートアクセス型トロイの木馬です。ファイル名、使用されるポート番号などの特徴は攻撃者の設定によって異なります。よって、ここでは一般的な特徴を説明します。

ウイルスの特徴TOPに戻る

サーバコンポーネント

・サーバコンポーネントがユーザのマシンで実行されると、あらかじめ設定されているポートを開き、攻撃者からの接続を待機します。

・また、ターゲットのIPアドレス、マルウェアが受信待機しているポートに関する通知を攻撃者に送信します。この情報を入手した攻撃者は、クライアントコンポーネントを使ってターゲットにリモート接続できます。

サーバエディタコンポーネント

・攻撃者は、サーバエディタコンポーネントを使用して、サーバコンポーネントを作成/編集します。

・サーバエディタコンポーネントで利用可能な機能の一例は以下のとおりです。

  • サーバコンポーネントのファイル名の変更
  • 通知方法の選択(電子メール、FTPなど)

これにより、攻撃者がターゲットにリモート接続できるよう、ターゲットの名前とIPアドレスを攻撃者に通知します。

  • OSX/HellRTSが受信接続の受信待機を行うポート番号の変更
  • マシンの再起動時にOSX/HellRTSが自動的に起動するためのスタートアップ方法の選択

・サーバエディタコンポーネントのスクリーンショットの一例は以下のとおりです。

クライアントコンポーネント

・クライアントコンポーネントは攻撃者のコンピュータ上で動作し、ターゲットマシンのサーバコンポーネントにリモート接続します。

・攻撃者が利用可能な機能の一例は以下のとおりです。

  • プロセスマネージャ(実行中のプロセスの一覧表の作成、強制終了)
  • ファイルマネージャ(一覧表の作成、アップロード、ダウンロード、削除)
  • チャットボックスの起動およびターゲットとのチャット
  • ターゲットマシンでのいたずら(CD-ROMの開閉、ビデオ/サウンドの再生)
  • クリップボードの内容の読み取り/改変
  • デストップのログオフ、再起動、終了

・OSX/HellRTSのクライアントコンポーネントのスクリーンショットは以下のとおりです。

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る

・上記のファイルが存在します。

感染方法TOPへ戻る

・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。トロイの木馬が届く原因には、セキュリティ対策が不十分、マシンに修正プログラムが適用されていない、システムが脆弱といった理由が考えられます。

・IRC、ピアツーピアネットワーク、電子メール、ニュースグループへの投稿などを通じて配布されます。

駆除方法TOPへ戻る
■最新のエンジンとウイルス定義ファイルの組み合わせで、検出・駆除してください。McAfee Labs は、見慣れたもしくは安全に見えるファイルアイコン(特に、ユーザーがファイルを共有できるP2Pクライアント、IRC、E-mailまたはその他のメディアから受け取ったファイルを)を信用しないことを推奨します。

Windows ME/XPでの駆除についての補足