侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %System Root%\DC22\dcapi.dll
- %System Root%\DC22\dccon.exe
- %System Root%\DC22\dcrypt.exe
- %System Root%\DC22\dcrypt.sys
- %System Root%\DC22\log_file.txt - Log of malware activities
- %System Root%\DC22\Mount.exe
- %System Root%\DC22\netpass.exe
- %System Root%\DC22\netuse.txt - used to store information about network users
- %System Root%\DC22\netpass.txt - used to store user passwords
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のファイルを作成し実行します。
- %System Root%\DC22\dcinst.exe - with parameter: -setup
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のプロセスを追加します。
- For Windows XP or Server 2003:
- %System%\cmd.exe /c net user /add mythbusters 123456
- %System%\cmd.exe /c net localgroup administrators mythbusters /add
- %System%\cmd.exe /c cmd /c net use >> c:\dc22\netuse.txt
- %System%\cmd.exe /c C:\DC22\netpass.exe /stab C:\DC22\netpass.txt
- For Windows Vista and above:
- %System%\cmd.exe schtasks /create /tn DefragmentService /TR \"cmd.exe /c net use >> c:\\dc22\\netuse.txt\" /sc DAILY
- %System%\cmd.exe schtasks /run /TN DefragmentService
- %System%\cmd.exe schtasks /delete /TN DefragmentService /F
(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
自動実行方法
マルウェアは、以下のサービスを追加し、実行します。
- Service Name: DefragmentService
Display Name: DefragmentService
Start Type: SERVICE_AUTO_START
Binary Pathname: {malware path}\{malware name}.exe 123141
その他
マルウェアが作成する以下のファイルは、マルウェアの活動の記録です。
- %System Root%\DC22\log_file.txt
マルウェアが作成する以下のファイルは、ネットワークユーザに関する情報を保存するのに利用されます。
- %System Root%\DC22\netuse.txt
マルウェアが作成する以下のファイルは、ユーザのパスワードを保存するのに利用されます。
- %System Root%\DC22\netpass.txt
マルウェアが作成し、実行する以下のファイルは、パラメータ”-setup”を持ちます。
- %System Root%\DC22\dcinst.exe
マルウェアは、以下のプロセスを追加します。(Windows XP またはServer 2003)
- %System%\cmd.exe /c net user /add mythbusters 123456
- %System%\cmd.exe /c net localgroup administrators mythbusters /add
- %System%\cmd.exe /c cmd /c net use >> c:\dc22\netuse.txt
- %System%\cmd.exe /c C:\DC22\netpass.exe /stab C:\DC22\netpass.txt
マルウェアは、以下のプロセスを追加します。(Windows Vistaおよびそれ以降のOS)
- %System%\cmd.exe schtasks /create /tn DefragmentService /TR \"cmd.exe /c net use >> c:\\dc22\\netuse.txt\" /sc DAILY
- %System%\cmd.exe schtasks /run /TN DefragmentService
- %System%\cmd.exe schtasks /delete /TN DefragmentService /F
マルウェアは、以下のサービスを追加し、実行します。
- サービス名: DefragmentService
表示名: DefragmentService
開始の種類: SERVICE_AUTO_START
バイナリのパス名: {malware path}\{malware name}.exe 123141
マルウェアは、コンピュータを再起動します。
再起動後、マルウェアは以下を実行します。
- %System Root%\DC22\Mount.exe 123141
- %System Root%\DC22\dccon.exe -boot -setmbr hd0
- %System Root%\DC22\dccon.exe -encrypt pt{0-9} –p
マルウェアは、ツール“%System Root%\DC22\dccon.exe”を利用し、ディスクドライブを暗号化します。そして、マスター ブート レコードを改変し、脅迫状を表示します。
暗号化後、マルウェアは、以下のコマンドを実行します。
- %System%\cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & sc delete DefragmentService & Del "{malware path}\{malware name}.exe" & taskkill /im Mount.exe & Del ""%System Root%\DC22\Mount.exe"" & Del ""%System Root%\DC22\netpass.txt"" & Del ""%System Root%\DC22\netuse.txt"" & Del ""%System Root%\DC22\netpass.exe"" & net user /del mythbusters & shutdown /f /r /t 0
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。)
再度の再起動後、マルウェアは、ブート時に以下の脅迫状を表示します。
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
[ 詳細 ]
[ 戻る ]
セーフモードでの起動:
• Windows 2000 の場合:
- コンピュータを起動させます。
- 「Windows **** を起動しています・・・」のメッセージが表示されている間に[F8]を押します。
- 「Windows 拡張オプション メニュー」が表示されるので、[↓][↑]キーを使って[セーフモード]を選択し、[Enter]を押します。
• Windows XP の場合:
- コンピュータを起動させます。
- 「Windows **** を起動しています・・・」のメッセージが表示されている間に[F8]を押します。
- 「Windows 拡張オプション メニュー」が表示されるので、[↓][↑]キーを使って[セーフモード]を選択し、[Enter]を押します。
• Windows Server 2003 の場合:
- コンピュータを起動させます。
- 「Windows **** を起動しています・・・」のメッセージが表示されている間に[F8]を押します。
- 「Windows 拡張オプション メニュー」が表示されるので、[↓][↑]キーを使って[セーフモード]を選択し、[Enter]を押します。
• Windows Vista、Windows 7 および Windows Server 2008 の場合:
- コンピュータを起動させます。
- 「Windows **** を起動しています・・・」のメッセージが表示されている間に[F8]を押します。
- 「詳細ブート オプション」が表示されるので、[↓][↑]キーを使って[セーフモード]を選択し、[Enter]を押します。
• Windows 8、8.1 および Server 2012の場合:
- 画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
- マウスで、[設定]-[PC設定の変更]を選択します。
- 左側のパネルで、[全般]を選択します。
- 右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
- [オプションの選択]メニューで、[トラブルシューティング]-[詳細オプション]-[スタートアップ設定]-[再起動]をクリックします。
- [スタートアップ設定]メニューで、[4]キーを押し、「4)セーフモードを有効にする」を選択します。
手順 4
このマルウェアのサービスを無効にします。
[ 詳細 ]
[ 戻る ]
このマルウェアのサービスを無効にします。
ここでは、実行中マルウェアのサービスを終了します。
- 「コマンドプロンプト」を起動します。
- Windows 2000、XP および Server 2003 の場合
[スタート]-[ファイル名を指定して実行]を選択し、cmd と入力し、Enter を押します。
- Windows Vista、7 および Server 2008 の場合:
[スタート]-[プログラムとファイルの検索]に cmd と入力し、Enter を押します。
※cmd は半角英数字で入力する必要があります(大文字/小文字は区別されません)。 - Windows 8、8.1 および Server 2012 の場合:
画面左下隅を右クリックし、[コマンドプロンプト]を選択します。
- 「コマンドプロンプト」に、以下のコマンドを入力します。
NET STOP - Enter を押します。サービスの終了を告げるメッセージが表示されます。
- 「コマンドプロンプト」を閉じます。
手順 5
以下のファイルを検索し削除します。
[ 詳細 ]
[ 戻る ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
- %System Root%\DC22\dcapi.dll
- %System Root%\DC22\dccon.exe
- %System Root%\DC22\dcinst.exe
- %System Root%\DC22\dcrypt.exe
- %System Root%\DC22\dcrypt.sys
- %System Root%\DC22\log_file.txt
- %System Root%\DC22\Mount.exe
- %System Root%\DC22\netpass.exe
- %System Root%\DC22\netuse.txt
- %System Root%\DC22\netpass.txt
マルウェアのコンポーネントファイルの削除:
Windows 2000、XP および Server 2003 の場合: - [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
- [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
- %System Root%\DC22\dcapi.dll
- %System Root%\DC22\dccon.exe
- %System Root%\DC22\dcinst.exe
- %System Root%\DC22\dcrypt.exe
- %System Root%\DC22\dcrypt.sys
- %System Root%\DC22\log_file.txt
- %System Root%\DC22\Mount.exe
- %System Root%\DC22\netpass.exe
- %System Root%\DC22\netuse.txt
- %System Root%\DC22\netpass.txt
- [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
- 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註:ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。(例:ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索)
Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合: - Windowsエクスプローラ画面を開きます。
- Windows Vista、7 および Server 2008 の場合:
- Windows 8、8.1 および Server 2012 の場合:
- 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
- [コンピューターの検索]に、以下を入力します。
- %System Root%\DC22\dcapi.dll
- %System Root%\DC22\dccon.exe
- %System Root%\DC22\dcinst.exe
- %System Root%\DC22\dcrypt.exe
- %System Root%\DC22\dcrypt.sys
- %System Root%\DC22\log_file.txt
- %System Root%\DC22\Mount.exe
- %System Root%\DC22\netpass.exe
- %System Root%\DC22\netuse.txt
- %System Root%\DC22\netpass.txt
- ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註:Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。
ご利用はいかがでしたか? アンケートにご協力ください