ウイルス情報

ウイルス名 危険度

W32/Zmist.gen

企業ユーザ: 低
個人ユーザ: 低
種別 ウイルス
最小定義ファイル
(最初に検出を確認したバージョン)
4153
対応定義ファイル
(現在必要とされるバージョン)
5278 (現在7656)
対応エンジン 5.1.00以降 (現在5600) 
エンジンバージョンの見分け方
別名 W95.ZMist (NAV)
Win32.ZMist (KAV/AVP)
Win32.Zombie.Mistfall (DrWeb)
亜種 W32/Zmist.a
W32/Zmist.b
W32/Zmist.c
W32/Zmist.d
情報掲載日 02/04/01
発見日(米国日付) 02/01/27
駆除補足 ウイルス駆除のヒント
概要 ウイルスの特徴 感染症状 感染方法 駆除方法

概要

TOPへ戻る

ウイルスの特徴

2002年5月24日更新情報
スキャンに非常に時間が掛かるファイルがあるため、AVERTは定義ファイル 4204 から Zmist の検出方法を変更し、ヒューリスティックスキャンを使用した時のみ時間の掛かる検出ルーチンが機能するようにしました。もし Zmist に感染したら、たいていの感染ファイルは、通常モードで検出できますが、ヒューリスティックスキャンでなければ検出できないものがある可能性があります。AVERTは引き続きスキャンに非常に時間が掛かるファイルサンプルに注目します。そういったファイルがあれば、AVERTに送ってください。ウイルス解析依頼はこちら

  • W32/Zmist.genは、直接型ファイル感染ウイルスです。高度なポリモフィック型ウイルスで、特徴的な感染方法を使います。−ホストファイルをバラバラにし、そのファイルの中のいろんなところに自身を組み込みます。このウイルスはポリモフィック 復号処理と暗号化された本体から成ります。驚くことに、このレベルの複雑なウイルスは非常に安定し、壊れたり、感染ミスを起こしません。W32/Zmistは特別なポリモフィック エンジン(通称"Mistfall")を使っており、厳密に言えば、この種のウイルス作成者(ロシア人ウイルス作成者、自称"Zombie")によって書かれたものです。
  • このウイルスは、Win32 ファイルを感染せずに改ざんします。それらの改ざんされたファイルは、感染してはいないので普通に機能を果たしますが、ロシアに大量の粗野な文字列を送ります。それらのファイルは、W32/Zmist.xyzとして検出されます。ペイロードは非常に頻繁に起き、日時に依存しません。改ざんされたファイルは普通に機能しますが、元の物に置き換えた方が良いでしょう。
  • この文章掲載の時点まで、Zmistの4つの亜種を発見しました。これらは、一般からの報告はまだありません。亜種".a"、".c"、".d"の検出は、比較的単純です。しかし、亜種".b"の検出は、簡単ではありません。
  • 亜種".b"の検出は困難ですが、AVERTはずっと前(2001年8月)にActive DAT技術を使ったアルゴリズム的検知に含んでいました。定義ファイル4192では、4つすべての亜種をデフォルトモードで検出できます。

TOPへ戻る

以下の症状が見られる場合、このウイルスに感染している可能性があります。

  • 感染ファイルのサイズが最大35,000 バイトまで増加する。

TOPへ戻る

感染方法

TOPへ戻る

駆除方法

■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

Windows ME/XPでの駆除についての補足

TOPへ戻る