FakeAlert-WwSec対策,

ウイルス情報ウイルス名リスク度FakeAlert-WwSec企業ユーザ: N/A
個人ユーザ: N/A類別トロイの木馬最小定義ファイル
(初っ端に検出を確認したパブジョン)5887対応定義ファイル
(現在不可欠とされるパブジョン)5895　2010/03/01

駆逐補足ウイルス駆逐のヒント
アウトラインウイルスのめりはり感染症状感染手立て駆逐手立て

FakeAlert-WwSecは偽の警告を行うトロイの木馬です。名前の通り、乗っ取ったユーザのシステムに偽の警告を表示します。実際にはそうではありませんが、ユーザのシステムが多大な悪影響を浴びているように装います。その後、偽のバルーンヒントを表示し、乗っ取られたユーザがクリックすると、偽のウイルス対策ソフトウェアを買うよう促します。

FakeAlert-WwSecはすっかり自動でインストールされ、システムでウイルススキャンを実行します。ウイルスを検出したと偽り、システムからウイルスを駆逐するため、製気品を登録するよう注文します。

ウイルスのめりはり

実行時、FakeAlert-WwSecは以下のレジストリキーを作成します。

HKEY_USERS\S-1-5-21-602162358-1897051121-839522115-1003_Classes\.exe

HKEY_USERS\S-1-5-21-602162358-1897051121-839522115-1003_Classes\secfile

HKEY_CURRENT_USER\Software\Classes\.exe

HKEY_CURRENT_USER\Software\Classes\secfile

HKEY_CLASSES_ROOT\.exe

HKEY_CLASSES_ROOT\secfile

以下のレジストリ値がシステムに追加されます。

[HKEY_CURRENT_USER\Software\Microsoft\Windows "Identity"]

データ： 8A, 53, 5C, F6

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DisableNotifications"]

データ： 01, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DoNotAllowExceptions"]

データ： 00, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "EnableFirewall"]

データ： 00, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DisableNotifications"]

データ： 01, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DoNotAllowExceptions"]

データ： 00, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DisableNotifications"]

データ： 01, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "DoNotAllowExceptions"]

データ： 00, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile "EnableFirewall"]

データ： 00, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DisableNotifications"]

データ： 01, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile "DoNotAllowExceptions"]

データ： 00, 00, 00, 00

以下のレジストリ値が改変されます。

[HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command "(既定)"]

改変後のデータ： “C:\Documents and Settings\%User%\Local Settings\Application Data\av.exe” /START “C:\Program Files\Intern

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center "AntiVirusOverride"]

改変後のデータ： 01, 00, 00, 00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center "FirewallOverride"]

改変後のデータ： 01, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess "Start"]

改変後のデータ： 04, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Epoch "Epoch"]

改変後のデータ： 2D, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess "Start"]

改変後のデータ： 04, 00, 00, 00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch "Epoch"]

改変後のデータ： 2D, 00, 00, 00

以下のファイルがFakeAlertによってドロップ／作成されます。

c:\Documents and Settings\%User%\Local Settings\Application Data\av.exe (サイズ： 176,128バイト)

c:\Documents and Settings\%User%\Local Settings\Application Data\B66D8 (サイズ： 7,296バイト)

FakeAlertは以下のセキュリティセンターをロードし、ファイアウォールまたはウイルス対策がインストールされていないことをユーザに通知します。これはユーザをだあまつさえ偽のスキャンソフトウェアを購入させようとする偽のセキュリティセンターです。

このセキュリティセンターがロードされると、FakeAlertはユーザのハードディスク割り知ってブの偽のスキャンを開始し、マシンが複数のマルウェアファイルに感染しているとユーザに通知します。

偽のスキャンが完了すると、以下の画面が表示され、マシンが感染していると偽り、ユーザをだあまつさえソフトウェアを購入させようとします。ユーザをだあまつさえ「YES」をクリックさせ、Fake Alertソフトウェアを購入させるため、「NO」ボタンの位置がめて替えられています。

ユーザがFake Alertを閉じると、マシンが攻撃を浴びており、保護が不可欠だと欺くポップアップメッセージをタスクパブに表示し継続します。

以下のドメインにアクセスする割合があります。

antivirus-[削除].com

livewindowsant[削除].com

proantivir[削除].com

pro-antivir[削除].com

antivirus[削除].com

microa-ntvir[削除].com

antivirus-[削除].com

windows-[削除].com

spyware-destroy[削除].com

システムの改変

以下は一般的な合格変数の既定値です。

%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000)

%SystemDir% = \WINDOWS\SYSTEM (Windows 98/ME), \WINDOWS\SYSTEM32 (Windows XP/Vista), \WINNT\SYSTEM32 (Windows NT/2000)

以下の症状が見られる時、このウイルスに感染している割合があります。

システムがひどく感染しているかのような偽の警告を表示します。

レジストリを改変します。

感染手立て

トロイの木馬は自己複製しません。多くの時、その実行可能ファイルに何らかの利益があると思発言させて手動で実行させることにより繁殖します。IRC、ピアツーピアネットワーク、ニュースグループへの投稿、スパムメールなどを便秘気味て配布されます。

駆逐手立て

現行のエンジンとウイルス定義ファイルを使用して、検出駆逐して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した時は正常に駆逐されます。

Windows ME/XPでの駆逐についての補足


,FakeAlert-WwSec対策