ウイルス情報

ウイルス名 危険度

Keylog-Razytimer

企業ユーザ: 低
個人ユーザ: 低
最小定義ファイル
(最初に検出を確認したバージョン)
4246
対応定義ファイル
(現在必要とされるバージョン)
4246 (現在7656)
対応エンジン 4.1.60以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日 03/01/31
発見日(米国日付) 03/01/30
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

ウイルスの特徴

・Keylog-Razytimerは悪意あるファイルで、ファイル名は“MSHTML.EXE”です。このバイナリファイルは32ビットのPEファイルで、サイズは624,642バイト(10進数)です。Borland Delphiで作成されており、圧縮されていません。

・このトロイの木馬は定義ファイル4246以降で“Keylog-Razytimer”として検出されますが、他の定義ファイルでヒューリスティックスキャンを実行しても検出されます。例えば、定義ファイル4245では“New backdoor2”として検出されます。(“New backdoor2”は、特定のウイルス名ではなくウイルスの総称です。)

・MSHTML.EXEファイルが実行されると、%windows\%systemディレクトリに自身のコピーを作成し、レジストリエントリを改変してシステム起動時に自動的に自身を読み込むようにします。

・例えば、Windows9X/MEシステム上では“HKLM\Software\Mirosoft\Windows\CurrentVersion\Run\ "c:\windows\system\mshtml.exe"”とします。

・少しでも疑わしいファイルに見えないように、“mshtml.dll”など通常のシステムに存在するファイル名に非常に似たファイル名(mshtml.exe)を使用します。

・Keylog-Razytimerはキーロガーのトロイの木馬で、ログオン名、パスワードなどのユーザ認証情報を取得します。例えば以下の情報を取得します。

●インスタントメッセージ
●AOL
●winzip
●Internet Explorerのスタートページ
●PowerDVD
●IPアドレス

・上記の取得された情報と.jpgファイルに保存された感染ユーザのシステムのスクリーンショットを、Webサイトに転送します。攻撃者側がこれらの情報とファイルを受け取り、転送が完了すると、クライアント側の接続を終了します。

●使用されるサーバポート:11831
●使用されるデータ転送用ポート:29559

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

・%windows\%systemディレクトリに、悪意あるファイル“mshtml.exe”が存在します。

・レジストリエントリ“..\currenversion\run”を改変します。Windows 9xシステムでは、“HKLM\Software\Mirosoft\Windows\CurrentVersion\Run\ "c:\windows\system\mshtml.exe"”と改変します。

・ポート11831(サーバ側)およびポート29559(クライアント側)が予期せず接続します。

TOPへ戻る

感染方法

・mshtml.exeファイルを手動で起動すると、キーロギングが開始されます。

TOPへ戻る