McAfee for Small Businesses

ウイルス名 危険度 W32/Swisyn.ag 企業ユーザ: 低[要注意] 個人ユーザ: 低[要注意] 種別 ウイルス 最小定義ファイル (最初に検出を確認したバージョン) 6275 対応定義ファイル (現在必要とされるバージョン) 6282　（現在7084) 対応エンジン 5.4.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 情報掲載日 2011/04/06 発見日（米国日付） 2011/02/05 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/22 W32/Virut.ge... 05/22 W32/Duel!962... 05/22 W32/Duel!EC1... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7084  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る ・実行時、W32/Swisyn.agは以下の場所にファイルをドロップ（作成）します。 %Windir%\system32\explorer.exe [隠しファイル] [W32/Swisyn.agという名前で検出] %Windir%\spoolsv.exe [隠しファイル] [W32/Swisyn.agという名前で検出] %Windir%\svchost.exe [隠しファイル] [W32/Swisyn.agという名前で検出] %UserProfile%\Local Settings\Application Data\mrsys.exe [隠しファイル] [W32/Swisyn.agという名前で検出] ・また、以下のファイルをドロップ（作成）します。 %Windir%\system32\cmsys.cmn ・W32/Swisyn.agは、毎日、指定された時刻にファイル（stsys.exe）を実行するようにスケジュール設定された以下のジョブファイルを作成します。 %Windir%\Tasks\At1.job ・以下のレジストリキーがシステムに追加されます。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{ F146C9B1-VMVQ-A9RC-NUFL-D0BA00B4E999} HKEY_CURRENT_USER\S-1-(不定)\Software\VB and VBA Program Settings HKEY_CURRENT_USER\S-1-(不定)\Software\VB and VBA Program Settings\Explorer HKEY_CURRENT_USER\S-1-(不定)\Software\VB and VBA Program Settings\Explorer\Process ・以下のレジストリ値が追加されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\ F146C9B1-VMVQ-A9RC-NUFL-D0BA00B4E999}\] “StubPath” = "%UserProfile%\Local Settings\Application Data\mrsys.exe MR" ・上記のレジストリにより、W32/Swisyn.agが乗っ取ったシステムに登録され、起動のたびに実行されるようにします。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\] “Explorer” = "%Windir%\system32\explorer.exe RO" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\] “Svchost” = "%Windir%\svchost.exe RO" ・上記のレジストリにより、W32/Swisyn.agがRUN項目を乗っ取ったシステムに登録し、起動のたびに自身を実行するようにします。 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule\AtTaskMaxHours: 0x00000048 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule\AtTaskMaxHours: 0x00000048 ・以下のレジストリ値が改変されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\] “Shell” = "%Windir%\explorer.exe, %Windir%\system32\explorer.exe" ・上記のレジストリにより、W32/Swisyn.agが乗っ取ったシステムに登録され、起動のたびに実行されるようにします。 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule\NextAtJobId: 0x00000002 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule\NextAtJobId: 0x00000002 ・以下のレジストリ項目により、Windowsファイアウォールが無効化されます。 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Start: 0x00000004 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Start: 0x00000004 [%UserProfile%はc:\Documents and Settings\Administrator\、%Temp%はC:\Documents and Settings\Administrator\Local Settings\Temp\、%SystemDrive%はオペレーティングシステムがインストールされているドライブで、通常はC:\] ・また、Windows以外のファイルにも感染することが確認されています。 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る 上記のファイルおよびレジストリ項目が存在します。 感染方法 TOPへ戻る ・ウイルスは自己複製します。多くの場合、ネットワーク、またはリムーバブルディスク、書き込み可能なCD、USBドライブなどのリムーバブルメディアへの送信によって拡散されます。また、ネットワークファイルシステム、他のコンピュータと共有されているファイルシステムのファイルに感染して、拡散する可能性があります。 駆除方法 TOPへ戻る 脅威と危険と思われる要素を取り除くため、サポートされているすべてのWindowsに対して以下の処置を行ってください。 システムリストアを無効にしてください。(Windows ME/XPのみ) 脅威の検出・駆除のために最新のエンジンとDATにアップデートしてください。 Complete system scanを実行してください。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 通常の修正が成功しなかった場合、サンプルを McAfee Labsまで送付してください。