TROJ_KILLMBR.SM
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
マルウェアは、2013年3月に韓国のユーザを狙った「マスター・ブート・レコード（MBR）」を復旧困難にさせるマルウェアの大規模発生に関連しています。マルウェアは、感染コンピュータ上のMBRを復旧困難にさせる破壊的な不正活動を行います。このマルウェアに感染したユーザのコンピュータは、操作不能、終了、および実行不能に見舞われることとなります。
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
詳細
侵入方法
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
- TROJ_KILLMBR.DS
プロセスの終了
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- pasvc.exe
- clisv.exe
その他
マルウェアは、感染コンピュータのMBRを「PRINCPES」や「HASTATI.」、「PR!NCPES」といった文字列で上書きします。
これにより、オペレーティングシステム（OS）の起動を妨害します。マルウェアは、システム時刻が、2013年3月20日午後2時であるか、またはそれ以降であるかを確認します。確認した時刻が、2013年3月20日午後2時以前だった場合、マルウェアは休止状態を継続します。
マルウェアは、Windows Vista およびそれ以降のバージョンを搭載するコンピュータに侵入した場合、すべての固定ドライブおよびリムーバブルドライブ内に存在する、すべてのフォルダおよびサブフォルダを検索し、さらにそれらの中に保存されているすべてのファイルを検索します。マルウェアは、反復的な文字列でファイルを上書きし、そしてファイルおよびフォルダを削除します。"＜システムのルート（通常C：ドライブ）＞" 内のファイルは最後に上書きされます。
Windows XP およびそれ以前のバージョンを搭載するコンピュータに侵入した場合、すべての固定ドライブおよびリムーバブルドライブの「ボリューム・ブート・レコード（VBR）」を上書きします。
マルウェアは、感染活動を効果的に行うために、コンピュータを自動的に再起動します。
対応方法
手順 1
Master Boot Record（MBR）を修復します。
Master Boot Record（MBR）の修復：
• Windows 2000、XP および Server 2003 の場合
- 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行してください。検出したパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール CD を使用して、コンピュータを再起動します。
- [セットアップへようこそ] 画面で、修復の R キーを押します。
（註： Windows 2000 の場合、R キーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。） - 修復する Windows がインストールされているドライブを選択します（通常は "1" を選択します）。.
- 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずに Enter を押します。
- コマンドプロンプトに、上記で確認したマルウェアが検出されたドライブ名を入力します。
- 以下のコマンドを入力し、Enter を押します。
fixmbr ＜感染したドライブ＞ - コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。
※"fixmbr" と "＜感染したドライブ＞" の間に半角スペースを入れてください。
※"＜感染したドライブ＞" とは、このマルウェアが感染したブータブル・ドライブのことです。ドライブが特定できない場合、プライマリ・ブート・ドライブにあるマスター・ブート・レコードが上書きされている可能性があります。
• Windows Vista および 7 の場合
- 最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。
- Windows のインストール DVD を使用して、コンピュータを再起動します。
- 再起動するかどうかの確認画面が表示されたら、いずれかのキーを入力し、表示される指示に従います。
- Windows のインストール DVD によっては、インストールする言語の選択が必要になる場合があります。 Windows のインストール画面で、言語、ロケール情報およびキーボードの種類と入力方法を選択します。[コンピュータを修復する]をクリックします。
- [Windows の起動に伴う問題の修復用の回復ツールを使用します。]を選択します。オペレーティングシステム（OS）を選択し、[次へ]をクリックします。
- [スタートアップ修復]画面が表示された場合、[キャンセル]-[はい]-[完了]をクリックします。
- [システム回復オプション]メニューで、[コマンドプロンプト]をクリックします。
- 以下のコマンドを入力し、Enter を押します。
BoorRec.exe /fixmbr - コマンドプロンプトに exit と入力し、Enter を押して、コマンドプロンプト画面を閉じてください。
- [再起動]をクリックし、コンピュータを通常どおり再起動してください。
手順 2
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_KILLMBR.SM」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください