PE_RAMNIT.KC-O
Windows 2000, Windows XP, Windows Server 2003
マルウェアタイプ:
ファイル感染型
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。 ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。
ウイルスは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。 ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
詳細
侵入方法
ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。
ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
インストール
ウイルスは、以下のファイルを作成します。
- %User Temp%\{random}.sys - RTKT_RAMNIT.KC
- [drive]\RECYCLER\{SID}\{random}.cpl - TROJ_RAMNIT.KC
- [drive]\Copy of {number}.lnk - link to TROJ_RAMNIT.KC
(註:%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\<ユーザー名>\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\TEMP" です。)
ウイルスは、以下の無害なファイルを作成します。
- %Application Data%\{random}.log
(註:%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\<ユーザ名>\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Application Data" です。)
ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Application Data%\{random}\{randomname}.exe
- %User Temp%\{random}.exe
(註:%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\<ユーザ名>\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Application Data" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\<ユーザー名>\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\TEMP" です。)
ウイルスは、以下のフォルダを作成します。
- %Application Data%\{random}
- [drive]\RECYCLER
(註:%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\<ユーザ名>\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Application Data" です。)
ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- {GUID}
自動実行方法
ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = %Application Data%\{random}\{random name}.exe
ウイルスは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Micorsoft Windows Service
Type = 1
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Micorsoft Windows Service
Start = 4
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Micorsoft Windows Service
ErrorControl = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Micorsoft Windows Service
DisplayName = Micorsoft Windows Service
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Micorsoft Windows Service
DeleteFlag = 1
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Micorsoft Windows Service
ImagePath = %Application Data%\{random}\{random name}.sys
他のシステム変更
ウイルスは、以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,%Application Data%\{random}\{random name}.exe
ファイル感染
ウイルスは、以下のファイルに感染します。
- .EXE
- .DLL
ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。
感染活動
ウイルスは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。
ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
上記INFファイルには、以下の文字列が含まれています。
{garbage}
[autorun]
action=Open
icon=%WinDir%\system32\shell32.dll,4
shellexecute={malware path and filename}
shell\explore\command={malware path and filename}
USEAUTOPLAY=1
shell\Open\command={malware path and filename}
{garbage}
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
ご利用はいかがでしたか? アンケートにご協力ください