McAfee for Small Businesses

ウイルス名 危険度 W32/Rotinom 企業ユーザ: 低 個人ユーザ: 低 種別 ウイルス 最小定義ファイル (最初に検出を確認したバージョン) 6047 対応定義ファイル (現在必要とされるバージョン) 6369　（現在7084) 対応エンジン 5.3.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 別名 Kaspersky: Trojan.Win32.Agent2.ldt Microsoft: Trojan:Win32/Folstart.A Avira: TR/Agent2.ldt.36 Kaspersky: Trojan.Win32.Agent2.crpo Microsoft: Trojan:Win32/Rotinom.B Symantec: W32.Rotinom Ikarus: Trojan-Dropper.Agent 情報掲載日 2010/08/20 発見日（米国日付） 2010/07/18 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/22 W32/Virut.ge... 05/22 W32/Duel!962... 05/22 W32/Duel!EC1... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7084  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る ・W32/Rotinomはリムーバブルドライブまたはネットワーク共有を介して繁殖する可能性があるワームです。ユーザをだまして開かせ、W32/Rotinomを実行させるため、Windowsの「Folder Icon」をアイコンとして使用します。 ・実行時、以下の場所に自身をコピーします。 %UserProfile%\Local Settings\Application Data\Start\update.exe [リムーバブルドライブ]:\XXX.exe [注：XXXはリムーバブルメディア内の既存のフォルダ名] ・既存のフォルダ名で自身をコピーし、既存のフォルダの属性を変更して隠します。 ・上記の「XXX.exe」ファイルはフォルダのように見えます。ファイルをクリックして開くと、バックグラウンドで動作すると同時に、対応するオリジナルのフォルダを開きます。 ・以下のフォルダがシステムに追加されます。 %UserProfile%\Desktop\filesystem %UserProfile%\Local Settings\Application Data\S-1-5-(不定) %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\dmc %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\Rotinom %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\Rotinom\Usb 2.0 Driver %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\Rotinom\Usb 2.0 Driver\S-1-5-(不定) %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\Rotinom\Usb 2.0 Driver\S-1-5-(不定)\dmc %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\Rotinom\Usb 2.0 Driver\S-1-5-(不定)\tlsr %UserProfile%\Local Settings\Application Data\S-1-5-(不定)\tlsr %UserProfile%\Local Settings\Application Data\Start [リムーバブルドライブ]:\Usb 2.0 Driver\S-1-5-(不定)\dmc [リムーバブルドライブ]:\Usb 2.0 Driver\S-1-5-(不定)\tlsr ・上記のフォルダはW32/Rotinomによって作成される隠しフォルダです。 ・以下のレジストリ値が追加されます。 [HKEY_USERS\S-1-5-(不定)\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\] "Startup"="%UserProfile%\Local Settings\Application Data\Start" ・上記のレジストリにより、Windowsが起動するたびに、W32/Rotinomがスタートフォルダでプロセスを実行するようにします。 ・以下のレジストリ値が削除されます。 [HKEY_USERS\S-1-5-(不定)\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\] "Startup"="%USERPROFILE%\Start Menu\Programs\Startup" ・以下のレジストリ値が改変されます。 [HKEY_USERS\S-1-5-(不定)\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\] Hidden="0x00000002" [HKEY_USERS\S-1-5-(不定)\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\] HideFileExt="0x00000001" ・上記のレジストリ項目により、ファイル拡張子を隠し、乗っ取ったユーザが隠しファイル、フォルダを閲覧できないようにします。 ・W32/Rotinomのインスタンスが一度に1つだけ動作するよう、以下のMutexオブジェクトが作成されます。 LDLLMAIN 注： %UserProfile%はC:\Documents and Settings\[ユーザ名] 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る ・上記のファイル、レジストリ項目、活動が見られます。 感染方法 TOPへ戻る ・最も一般的なインストール方法は、システムやセキュリティを悪用し、疑いを持たないユーザに手動で未知のプログラムを実行させることです。電子メール、悪質な、またはハッキングされているWebサイト、IRC（インターネットリレーチャット）、ピアツーピアネットワークなどを通じて配布されます。 駆除方法 TOPへ戻る ■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 Windows ME/XPでの駆除についての補足