製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報:PQ
ウイルス情報
ウイルス名危険度
ProcKill-EU
企業ユーザ:
個人ユーザ:
種別トロイの木馬
最小定義ファイル
(最初に検出を確認したバージョン)
5736
対応定義ファイル
(現在必要とされるバージョン)
5926 (現在7507)
対応エンジン5.3.00以降 (現在5600) 
エンジンバージョンの見分け方
別名Kaspersky - Backdoor.Win32.Wuca.lu Microsoft - Worm:Win32/Kufgal.A Ikarus - Trojan.Win32.StartPage
情報掲載日2010/04/01
発見日(米国日付)2009/09/09
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
07/21Generic.tfr!...
07/21RDN/Generic ...
07/21Downloader.g...
定義ファイル・エンジンの
ダウンロード!
  定義ファイル:7507
 エンジン:5600
 
ウイルス検索
 


概要TOPに戻る

・ProcKill-EUはトロイの木馬です。ウイルスと異なり、トロイの木馬は自己複製しません。多くの場合、ファイルが有益である、あるいはファイルを欲しいと思わせて手動で実行させることにより繁殖します。最も一般的なインストール方法は、システムやセキュリティを悪用し、疑いを持たないユーザに手動で未知のプログラムを実行させることです。電子メール、悪質な、またはハッキングされているWebサイト、IRC(インターネットリレーチャット)、ピアツーピアネットワークなどを通じて配布されます。

ファイル情報
  • MD5 - 6bf3e0ee935b729da3202dc6b4016d2c
  • SHA - 6c663ae81ff19b1b476f178356c7d945c79ec2b2

ウイルスの特徴TOPに戻る

・ProcKill-EUが実行されると、以下の場所に自身をコピーします。

  • %WinDir%\system\svhost.exe

・リモートサイト「Chi.[削除].pl」に接続し、以下の場所に悪質なファイルをダウンロードします。

  • %WinDir%\Tasks\safetravbo.exe

・また、リモートポート80を介してリモートサイト「b.db[削除].com」に接続し、以下の場所に構成ファイルをダウンロードします。

  • %WinDir%\Fonts\lanjica.ini

・以下のレジストリキーがシステムに追加されます。

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run

・以下のレジストリ値がシステムに追加されます。

  • [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\]
    "Command\:" = "C:\Program Files\Internet Explorer\iexplore.exe" http://www.07[削除].com/"
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\]
    "360safetray:" = "C:\WINDOWS\system\svhost.exe"

・上記のレジストリ項目により、Windowsにログオンされるたびに自身を実行できるようにするRUN項目を登録します。

・構成ファイルを使用し、以下のレジストリ値を改変してInternet Explorerのホームページを変更します。

[HKEY_USERS\S-1-(不定)\Software\Microsoft\Internet Explorer\Main\]
"Start Page:" = http://www.07[削除].com

・以下のフォルダがシステムに追加されます。

  • %SystemDrive%\kfnainfs.exe

・HOSTSファイルを改変し、以下のURLからIPへのマッピングを組み込みます。

  • 127.0.0.1 localhost
  • 127.0.0.1 rsup10.risi[削除].com.cn
  • 127.0.0.1 cloudinfo.ris[削除].com.cn
  • 127.0.0.1 go.ris[削除].com.cn
  • 127.0.0.1 f.36[削除].cn
  • 127.0.0.1 www.114bai[削除].com
  • 127.0.0.1 qup.f.36[削除].cn
  • 127.0.0.1 down.langlang[削除].com
  • 127.0.0.1 1232355.8[削除].org
  • 127.0.0.1 www.878[削除].cn
  • 127.0.0.1 www.889s[削除].cn
  • 127.0.0.1 ddd.ds[削除].cn
  • 127.0.0.1 img.do[削除].com
  • 127.0.0.1 www.dy[削除].com
  • 127.0.0.1 ok3.114g[削除].com
  • 127.0.0.1 ok1.114ol[削除].com
  • 127.0.0.1 down.114graph.com
  • 127.0.0.1 wwry.ch[削除].com
  • 127.0.0.1 111.ch[削除].com
  • 127.0.0.1 wwry.ch[削除].com
  • 127.0.0.1 ry.ch[削除].com
  • 127.0.0.1 3s.8[削除].com

・ユーザのシステムの乗っ取り後、さまざまな広告を表示する以下のサイトに接続します。

[%WinDir%はWindowsフォルダ(例:c:\Windows)、%ProgramFiles%はC:\Program Files、%SystemDrive%はオペレーティングシステムがインストールされているドライブで、通常はC:\]

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る
  • 上記のファイルおよびレジストリキーが存在します。
  • 上記のサイトへの予期しないネットワーク接続が存在します。

感染方法TOPへ戻る

・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。IRC、ピアツーピアネットワーク、ニュースグループへの投稿、電子メールなどを通じて配布されます。

駆除方法TOPへ戻る
■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足