McAfee for Small Businesses

以下の症状が見られる場合、このウイルスに感染している可能性があります。	TOPへ戻る
・「感染方法」に記載されているファイルとレジストリキーが存在します。

感染方法

TOPへ戻る

・W32/Naco.b@mmは、電子メール、ピアツーピアファイル共有ネットワークを介して、およびターゲットマシン上で自身を共有して繁殖します。 ・W32/Naco.b@mmは自己解凍型アーカイブファイルのドロッパ（137,651バイト)で構成されており、W32/Naco.b@MMとして検出されます。このドロッパがターゲットマシンで実行されると、以下の3つのファイルを抽出します。 MSWINSCK.OCX：Winsockコントロールライブラリ ANACON.BAT：上記のライブラリをインストール（および登録）するバッチスクリプト。自身を削除する前にNACO.EXEファイル（以下参照）を実行 NACO.EXE（86,016バイト）：（ワームに機能を付与する）Visual Basicバイナリファイル。W32/Naco.b@MMとして検出 ・NACO.EXEファイルが実行されると、以下のファイルをターゲットマシンにインストールします。 %SysDir%\SYSPOLY32.EXE（86,016バイト）：NACO.EXEファイルのコピー SysDir%\WARS.EXE（137,651バイト）：完全なSFXパッケージ （%SysDir%は、Windows Systemディレクトリ。例：C:\WINDOWS\SYSTEM） ・以下のレジストリキーを作成して、システムの起動をフックします。 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "PowerManagement"= C:\WINDOWS\SYSTEM\\SYSPOLY32.EXE HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "AHU" = C:\WINDOWS\SYSTEM\\SYSPOLY32.EXE HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run "Nocana" = C:\WINDOWS\SYSTEM\wars.exe HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices "InterceptedSystem" = C:\WINDOWS\SYSTEM\\SYSPOLY32.EXE ・ローカルのC:\:ドライブを共有するように、以下のレジストリキーも追加します。 HKEY_LOCAL_MACHINE\System\ControlSet001\Services\lanmanserver\Shares "HACKERz" HKEY_LOCAL_MACHINE\System\ControlSet002\Services\lanmanserver\Shares "HACKERz" HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\lanmanserver\Shares "HACKERz" ・以下のレジストリキーを追加し（キー名はランダムに設定されます）、Mirabilis ICQ Agentアプリケーションキーを使用して、ICQの起動時に自身を起動します。 HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\Gvjlkfbip "Enable" = Yes HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\Gvjlkfbip "Parameters" = HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\Gvjlkfbip "Path" = C:\WINDOWS\SYSTEM\\SYSPOLY32.EXE HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\Gvjlkfbip "Startup" = Data: C:\WINDOWS\SYSTEM\ ・以下のセキュリティ関連アプリケーションをターゲットにします。これらのアプリケーションを発見すると、（Windows 9xシステム上で適切なNUL=%filename%エントリを使用してWININIT.INIファイルを作成し）、プロセスを終了して関連ファイルを削除します。 Zonealarm.exe Wfindv32.exe Webscanx.exe Vsstat.exe Vshwin32.exe Vsecomr.exe Vscan40.exe Vettray.exe Vet95.exe Tds2-Nt.exe Tds2-98.exe Tca.exe Tbscan.exe Sweep95.exe Sphinx.exe Smc.exe Serv95.exe Scrscan.exe Scanpm.exe Scan95.exe Scan32.exe Safeweb.exe Regedit.exe Rescue.exe Rav7win.exe Rav7.exe Persfw.exe Pcfwallicon.exe Pccwin98.exe Pavw.exe Pavsched.exe Pavcl.exe Padmin.exe Outpost.exe Nvc95.exe Nupgrade.exe Normist.exe Nmain.exe Nisum.exe Navwnt.exe Navw32.exe Navnt.exe Navlu32.exe Navapw32.exe N32scanw.exe Mpftray.exe Moolive.exe Luall.exe Lookout.exe Lockdown2000.exe Jedi.exe Iomon98.exe Iface.exe Icsuppnt.exe Icsupp95.exe Icmon.exe Icloadnt.exe Icload95.exe Ibmavsp.exe Ibmasn.exe Iamserv.exe Iamapp.exe Frw.exe Fprot.exe Fp-Win.exe Findviru.exe f-Stopw.exe f-Prot95.exe f-Prot.exe f-Agnt95.exe Espwatch.exe Esafe.exe Ecengine.exe Dvp95_0.exe Dvp95.exe Cleaner3.exe Cleaner.exe Claw95cf.exe Claw95.exe Cfinet32.exe Cfinet.exe Cfiaudit.exe Cfiadmin.exe Blackice.exe Blackd.exe Avwupd32.exe Avwin95.exe Avsched32.exe Avpupd.exe Avptc32.exe Avpm.exe Avpdos32.exe Avpcc.exe Avp32.exe Avp.exe Avnt.exe Avkserv.exe Avgctrl.exe Ave32.exe Avconsol.exe Autodown.exe Apvxdwin.exe Anti-Trojan.exe Ackwin32.exe _Avpm.exe _Avpcc.exe _Avp32.exe

駆除方法	TOPへ戻る
■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 Windows ME/XPでの駆除についての補足