製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- 主要ウイルスナビゲータ
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
- 無料セキュリティ情報サービス
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報：K
ウイルス情報
ウイルス名危険度
Keylog-Razytimer
企業ユーザ: 低
個人ユーザ: 低
最小定義ファイル
(最初に検出を確認したバージョン)		4246
対応定義ファイル
(現在必要とされるバージョン)		4246　（現在7077)
対応エンジン4.1.60以降　(現在5.4.00)　
エンジンバージョンの見分け方
情報掲載日03/01/31
発見日（米国日付）03/01/30
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
05/15ZeroAccess!5...
05/15VBS/LoveLett...
05/15RDN/Generic ...
定義ファイル・エンジンの
ダウンロード!
  定義ファイル：7077
 エンジン：5.4.00
 
ウイルス検索
 


ウイルスの特徴TOPに戻る

・Keylog-Razytimerは悪意あるファイルで、ファイル名は“MSHTML.EXE”です。このバイナリファイルは32ビットのPEファイルで、サイズは624,642バイト（10進数）です。Borland Delphiで作成されており、圧縮されていません。

・このトロイの木馬は定義ファイル4246以降で“Keylog-Razytimer”として検出されますが、他の定義ファイルでヒューリスティックスキャンを実行しても検出されます。例えば、定義ファイル4245では“New backdoor2”として検出されます。（“New backdoor2”は、特定のウイルス名ではなくウイルスの総称です。）

・MSHTML.EXEファイルが実行されると、%windows\%systemディレクトリに自身のコピーを作成し、レジストリエントリを改変してシステム起動時に自動的に自身を読み込むようにします。

・例えば、Windows9X/MEシステム上では“HKLM\Software\Mirosoft\Windows\CurrentVersion\Run\ "c:\windows\system\mshtml.exe"”とします。

・少しでも疑わしいファイルに見えないように、“mshtml.dll”など通常のシステムに存在するファイル名に非常に似たファイル名（mshtml.exe）を使用します。

・Keylog-Razytimerはキーロガーのトロイの木馬で、ログオン名、パスワードなどのユーザ認証情報を取得します。例えば以下の情報を取得します。

●インスタントメッセージ
●AOL
●winzip
●Internet Explorerのスタートページ
●PowerDVD
●IPアドレス

・上記の取得された情報と.jpgファイルに保存された感染ユーザのシステムのスクリーンショットを、Webサイトに転送します。攻撃者側がこれらの情報とファイルを受け取り、転送が完了すると、クライアント側の接続を終了します。

●使用されるサーバポート：11831
●使用されるデータ転送用ポート：29559

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る

・%windows\%systemディレクトリに、悪意あるファイル“mshtml.exe”が存在します。

・レジストリエントリ“..\currenversion\run”を改変します。Windows 9xシステムでは、“HKLM\Software\Mirosoft\Windows\CurrentVersion\Run\ "c:\windows\system\mshtml.exe"”と改変します。

・ポート11831（サーバ側）およびポート29559（クライアント側）が予期せず接続します。

感染方法TOPへ戻る
・mshtml.exeファイルを手動で起動すると、キーロギングが開始されます。