ウイルス情報

ウイルス名 危険度

Keylog-Mico

企業ユーザ: 低
個人ユーザ: 低
種別 トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
4297
対応定義ファイル
(現在必要とされるバージョン)
4297 (現在7656)
対応エンジン 4.2.40以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日 03/10/02
発見日(米国日付) 03/10/01
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

ウイルスの特徴

・Keylog-Micoはキーロガーのトロイの木馬で、ターゲットマシンの情報を記録して、リモートサーバーに送信するように作成されています。キーストローク、ウィンドウのタイトル、クリップボードの情報が記録されます。

・記録されたデータはリモートサーバ(Keylog-Micoにハードコード化されたIP)へ送信されます。

インストール

・トロイの木馬はドロッパとして受信されるようです。実行されると、ターゲットマシン上のローカルの一時ディレクトリへ2つのファイルを落とし込みます。

  • PCCIOMIN.DLL (45,056バイト)
  • PCCIOMIN.EXE (40,960バイト)

・以下のレジストリフックを追加して、次のシステム起動時にキーロガーがアクティブになるようにします。

  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
    \Run "Server" = %temp path%\PCCIOMIN.EXE

・%temp path%はローカルユーザの一時ディレクトリへのパスとして存在します。例:

  • C:\Documents and Settings\username\Local Settings\temp

・ログファイルはユーザの一時ディレクトリにも作成されます。以下がファイル名です。

  • MM0DD0YY.dat
    (例:0が区切り文字のMMDDYYフォーマット)

・PCCIOMIN.EXEはキーロガーPCCIOMIN.DLLコンポーネントを読み込みます。記録されたデータをハッカーへ送信するコンポーネントでもあります。

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・上記のファイルとレジストリキーが存在します。

TOPへ戻る

感染方法

・キーロガーは、単一のドロッパファイルを介して受信されるようです。ドロッパファイルは一度実行するとキーロガーの2つのコンポーネントのインストールを実行します。
  • PCCIOMIN.DLL (キーロガーコンポーネント)
  • PCCIOMIN.EXE (DLLを読み込み、記録されたデータを送信します)

TOPへ戻る

駆除方法

■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足

TOPへ戻る