McAfee for Small Businesses

以下の症状が見られる場合、このウイルスに感染している可能性があります。

TOPへ戻る

・W32/Korgo.worm.qは、ランダムなファイル名を使用してWindows Systemディレクトリ（例：c:\windows\system32）に自身をコピーし、システムの起動時に自動的にワームをロードするレジストリ実行キーを作成します。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "Windows Update" = C:\WINDOWS\System32\[ランダムな名前] .exe ・さらに、以下のマーカーキーを作成します。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless ・W32/Korgo.worm.qは身を潜め、Windows explorer.exeのスレッドとして自身を隠します。そのため、タスク マネージャのプロセスリストには表示されません。 ・W32/Korgo.worm.qはポート80でURLに接続します。接続はランダムで断続的に行われます。ターゲットになるURLの一例は以下のとおりです。 www.redline.ru adult-empire.com asechka.ru citi-bank.ru color-bank.ru crutop.nu filesearch.ru f**k.ru（検閲済み） goldensand.ru kavkaz.ru kidos-bank.ru konfiskat.org lovingod.host.sk master-x.com mazafaka.ru padonki.org parex-bank.ru trojan.ru xware.cjb.net

感染方法	TOPへ戻る
・W32/Korgo.worm.qはセキュリティホールのあるMicrosoft Windowsシステムを利用します。クラスAまたはクラスBのサブネットのIPアドレスとランダムなIPアドレスをスキャンして、TCPポート445上でSNYパケットを送信して、ターゲットマシンを識別します。次に、セキュリティホールを突いたコードをホストに送信して、ターゲットシステム上のLSASS.EXEのバッファをオーバーフローさせ、ウイルスを実行します。

駆除方法	TOPへ戻る
■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 Windows ME/XPでの駆除についての補足