Trojan-Downloader.Win32.IMCdown

技術的な詳細

このトロイの木馬は、ユーザーの知らないうちに同意なしにインターネット経由でファイルをダウンロードします。

これはWindows PE EXEファイルです。これはBorland C ++で書かれています。それは以下のコンポーネントを持っています：

• CLIENT.EXE – 57 344バイト
• SERVER.EXE – 65 024バイト
• X.EXE – 4 096バイト

ペイロード

トロイの木馬プログラム（X.EXE）は、116.116.199.216:62324（216.216.216.216:55512）へのTCP接続を確立しようとします。 30秒以内に接続が確立されない場合、トロイの木馬はプロセスを終了します。接続が確立されると、トロイの木馬は現在のディレクトリに「anyfile.exe」というファイルを作成し、ダウンロードしたデータをこのファイルに書き込み、実行するためにファイルを起動します。その後、トロイの木馬は動作を停止します。

トロイの木馬はポート12345上のZFTPサーバーを使用してデータをダウンロードします。クライアントコンポーネント（CLIENT.EXE）が起動されると、ポート12345を確認するブロードバンド要求が送信されます。サーバーコンポーネント（SERVER.EXE）がインストールされているコンピュータのアドレスがコマンドラインパラメータとして指定されている場合は、指定されたポートでこのマシンに確立されます。ファイルはサーバーからダウンロードされます。

削除手順

1. タスクマネージャを使用して、トロイの木馬のプロセスを終了します。
2. 元のトロイの木馬ファイルを削除します（場所は、プログラムが最初に被害者マシンに侵入した方法によって異なります）。
3. ウイルス対策データベースを更新し、コンピュータのフルスキャンを実行します（Kaspersky Anti-Virusの試用版をダウンロードしてください）。