ウイルス情報

ウイルス名 危険度

ProcKill-EU

企業ユーザ: 低
個人ユーザ: 低
種別 トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
5736
対応定義ファイル
(現在必要とされるバージョン)
5926 (現在7628)
対応エンジン 5.3.00以降 (現在5600) 
エンジンバージョンの見分け方
別名 Kaspersky - Backdoor.Win32.Wuca.lu Microsoft - Worm:Win32/Kufgal.A Ikarus - Trojan.Win32.StartPage
情報掲載日 2010/04/01
発見日(米国日付) 2009/09/09
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

概要

・ProcKill-EUはトロイの木馬です。ウイルスと異なり、トロイの木馬は自己複製しません。多くの場合、ファイルが有益である、あるいはファイルを欲しいと思わせて手動で実行させることにより繁殖します。最も一般的なインストール方法は、システムやセキュリティを悪用し、疑いを持たないユーザに手動で未知のプログラムを実行させることです。電子メール、悪質な、またはハッキングされているWebサイト、IRC(インターネットリレーチャット)、ピアツーピアネットワークなどを通じて配布されます。

ファイル情報
  • MD5 - 6bf3e0ee935b729da3202dc6b4016d2c
  • SHA - 6c663ae81ff19b1b476f178356c7d945c79ec2b2

TOPへ戻る

ウイルスの特徴

・ProcKill-EUが実行されると、以下の場所に自身をコピーします。

  • %WinDir%\system\svhost.exe

・リモートサイト「Chi.[削除].pl」に接続し、以下の場所に悪質なファイルをダウンロードします。

  • %WinDir%\Tasks\safetravbo.exe

・また、リモートポート80を介してリモートサイト「b.db[削除].com」に接続し、以下の場所に構成ファイルをダウンロードします。

  • %WinDir%\Fonts\lanjica.ini

・以下のレジストリキーがシステムに追加されます。

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run

・以下のレジストリ値がシステムに追加されます。

  • [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\]
    "Command\:" = "C:\Program Files\Internet Explorer\iexplore.exe" http://www.07[削除].com/"
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\]
    "360safetray:" = "C:\WINDOWS\system\svhost.exe"

・上記のレジストリ項目により、Windowsにログオンされるたびに自身を実行できるようにするRUN項目を登録します。

・構成ファイルを使用し、以下のレジストリ値を改変してInternet Explorerのホームページを変更します。

[HKEY_USERS\S-1-(不定)\Software\Microsoft\Internet Explorer\Main\]
"Start Page:" = http://www.07[削除].com

・以下のフォルダがシステムに追加されます。

  • %SystemDrive%\kfnainfs.exe

・HOSTSファイルを改変し、以下のURLからIPへのマッピングを組み込みます。

  • 127.0.0.1 localhost
  • 127.0.0.1 rsup10.risi[削除].com.cn
  • 127.0.0.1 cloudinfo.ris[削除].com.cn
  • 127.0.0.1 go.ris[削除].com.cn
  • 127.0.0.1 f.36[削除].cn
  • 127.0.0.1 www.114bai[削除].com
  • 127.0.0.1 qup.f.36[削除].cn
  • 127.0.0.1 down.langlang[削除].com
  • 127.0.0.1 1232355.8[削除].org
  • 127.0.0.1 www.878[削除].cn
  • 127.0.0.1 www.889s[削除].cn
  • 127.0.0.1 ddd.ds[削除].cn
  • 127.0.0.1 img.do[削除].com
  • 127.0.0.1 www.dy[削除].com
  • 127.0.0.1 ok3.114g[削除].com
  • 127.0.0.1 ok1.114ol[削除].com
  • 127.0.0.1 down.114graph.com
  • 127.0.0.1 wwry.ch[削除].com
  • 127.0.0.1 111.ch[削除].com
  • 127.0.0.1 wwry.ch[削除].com
  • 127.0.0.1 ry.ch[削除].com
  • 127.0.0.1 3s.8[削除].com

・ユーザのシステムの乗っ取り後、さまざまな広告を表示する以下のサイトに接続します。

[%WinDir%はWindowsフォルダ(例:c:\Windows)、%ProgramFiles%はC:\Program Files、%SystemDrive%はオペレーティングシステムがインストールされているドライブで、通常はC:\]

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

  • 上記のファイルおよびレジストリキーが存在します。
  • 上記のサイトへの予期しないネットワーク接続が存在します。

TOPへ戻る

感染方法

・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。IRC、ピアツーピアネットワーク、ニュースグループへの投稿、電子メールなどを通じて配布されます。

TOPへ戻る

駆除方法

■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足

TOPへ戻る