McAfee for Small Businesses

ウイルス名 危険度 W32/Sdbot.worm!3AFA6720 企業ユーザ: 低 個人ユーザ: 低 種別 ウイルス 最小定義ファイル (最初に検出を確認したバージョン) 5474 対応定義ファイル (現在必要とされるバージョン) 5480　（現在7077) 対応エンジン 5.1.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 情報掲載日 2009/01/05 発見日（米国日付） 2008/12/29 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/15 ZeroAccess!5... 05/15 VBS/LoveLett... 05/15 RDN/Generic ... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7077  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る システムの改変 ・以下は一般的なパス変数の既定値です。（異なる場合もありますが、一般的には以下のとおりです。） %WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000) %SystemDir% = \WINDOWS\SYSTEM (Windows 98/ME), \WINDOWS\SYSTEM32 (Windows XP/Vista), \WINNT\SYSTEM32 (Windows NT/2000) %ProgramFiles% = \Program Files ・W32/Sdbot.worm!3AFA6720を拡散するため、以下のエクスプロイトが使われる場合があります。 DcomRpc MS08-067 ・以下のファイルがシステムに追加されます。 %SystemDir%\drivers\SYSTMON.EXE %SystemDir%\drivers\trash210A11 ・システムの以下のファイルが改変されます。 %SystemDir%\sfc_os.dll [PatchedSFCという名前の不審なプログラムとして検出] ・以下のレジストリ要素が作成されます。 HKEY_LOCAL_MACHINE\software\microsoft\security center AntiVirusDisableNotify = 1 AntiVirusOverride = 1 FirewallDisableNotify = 1 FirewallOverride = 1 UpdatesDisableNotify = 1 HKEY_LOCAL_MACHINE\software\policies\microsoft\windows\windowsupdate\ donotallowxpsp2 = 1 HKEY_LOCAL_MACHINE\software\policies\microsoft\windowsfirewall\domainprofile\ enablefirewall = 0 HKEY_LOCAL_MACHINE\software\policies\microsoft\windowsfirewall\standardprofile\ enablefirewall = 0 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT\ DontReportInfectionInformation = 1 HKEY_LOCAL_MACHINE\system\currentcontrolset\services\wscsvc\ start = 4 HKEY_LOCAL_MACHINE\system\currentcontrolset\services\lanmanserver\parameters\ AutoShareWks = 1 AutoShareServer = 1 HKEY_LOCAL_MACHINE\system\currentcontrolset\services\lanmanworkstation\parameters\ AutoShareWks = 1 AutoShareServer = 1 HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System DisableTaskMgr = 1 ・以下のレジストリ要素が変更されます。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole EnableDCOM = 'N' HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon SFCDisable = 0xFFFFFF9D Shell = Explorer.exe %SystemDir%\drivers\SYSTMON.EXE HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger Start = 0x00000004 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control WaitToKillServiceTimeout = 7000 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa restrictanonymous = 1 HKEY_LOCAL_MACHINE\system\currentcontrolset\services\messenger\ start = 4 HKEY_LOCAL_MACHINE\system\currentcontrolset\services\remoteregistry\ start = 4 HKEY_LOCAL_MACHINE\system\currentcontrolset\services\tlntsvr\ start = 4 ・以下へのネットワーク接続が確認されています。 mail.fucuzzy.com mail.tiktikz.com topgameland.com genesisstore.sk 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る ・W32/Sdbot.worm!3AFA6720のファイル、レジストリ、ネットワーク通信については、「ウイルスの特徴」を参照してください。 感染方法 TOPへ戻る ・ウイルスは自己複製します。多くの場合、ネットワーク、またはリムーバブルディスク、書き込み可能なCD、USBドライブなどのリムーバブルメディアへの送信によって拡散されます。また、ネットワークファイルシステム、他のコンピュータと共有されているファイルシステムのファイルに感染して、拡散する可能性があります。 駆除方法 TOPへ戻る ■McAfee Labs は、常に最新のウイルス定義ファイルとエンジンの利用を推奨します。このウイルスは、最新のウイルス定義ファイルとエンジンの組み合わせで削除されます。 Windows ME/XPでの駆除についての補足