|
|
ウイルス情報| ウイルス名 | 危険度 | | PWS-Nemqe.dll!1b8decd9d516 | |
|
| 種別 | トロイの木馬 | 最小定義ファイル
(最初に検出を確認したバージョン) | 5842 | 対応定義ファイル
(現在必要とされるバージョン) | 5842 （現在7080) | | 対応エンジン | 5.3.01以降 (現在5.4.00)
エンジンバージョンの見分け方 | | 別名 | Microsoft: PWS:Win32/Pebox.A
Kaspersky: Trojan-GameThief.Win32.OnLineGames.vwwi
DrWeb: Trojan.PWS.Wsgame.15475
Nod32: Win32/PSW.Pebox.AA | | 情報掲載日 | 2009/12/25 | | 発見日（米国日付） | 2009/12/23 | | 駆除補足 | ウイルス駆除のヒント
| |
|
|
| 概要 | TOPに戻る | |
・PWS-Nemqe.dll!1b8decd9d516はトロイの木馬です。ウイルスと異なり、トロイの木馬は自己複製しません。多くの場合、ファイルが有益である、あるいはファイルを欲しいと思わせて手動で実行させることにより繁殖します。最も一般的なインストール方法は、システムやセキュリティを悪用し、疑いを持たないユーザに手動で未知のプログラムを実行させることです。電子メール、悪質な、またはハッキングされているWebサイト、IRC（インターネットリレーチャット）、ピアツーピアネットワークなどを通じて配布されます。
|
|
| ウイルスの特徴 | TOPに戻る | |
ファイルプロパティ
- サイズ : 14,848バイト
- MD5 : 1B8DECD9D516E22CB09F48DB114CF9A7
- SHA1: 7F273AA71826D1622859566A5D65C8113DABEB37
・以下のファイルが解析されました。
- %USERPROFILE%\local settings\temp\7f273aa71826d1622859566a5d65c8113dabeb37.exe
・実行時、以下のシステムの変更が行われます。
・PWS-Nemqe.dll!1b8decd9d516はWindowsファイル保護（WFP）を無効にすることを目的としています。
Windowsファイル保護は、Windowsのシステムファイルを保護するため、ユーザ／攻撃者がシステムファイルを改変／削除できないようにする仕組みです。
また、WFPは、システムファイルチェック（sfc_os.dll）を使って、紛失／破損したシステムファイルを置き換えます。
PWS-Nemqe.dll!1b8decd9d516は、正規のファイル（sfc_os.dll）の2バイトにパッチを適用して作成されています。このようにして、攻撃者／ユーザにアクセスを提供し、システムファイルを置換／削除できるようにします。
・以下のファイルが追加されます。
- %WinDir%\system32\sfc32.dll
- %WinDir%\system32\MyComrs.dll
・以下のレジストリ要素が改変されます。
- [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
“SFCDisable” = "FFFFFF9D"
・以下のファイルが改変されます。
- %WinDir%\system32\comres.dll
|
|
| 以下の症状が見られる場合、このウイルスに感染している可能性があります。 | TOPへ戻る | |
・PWS-Nemqe.dll!1b8decd9d516のファイル、レジストリ、ネットワーク通信については、「ウイルスの特徴」を参照してください。
|
|
| 感染方法 | TOPへ戻る | |
・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。IRC、ピアツーピアネットワーク、ニュースグループへの投稿、電子メールなどを通じて配布されます。
以下は一般的なパス変数の既定値です。（異なる場合もありますが、一般的には以下のとおりです。）
%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000)
|
|
|
|
|  |
