本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Trojan.Win32.Autoit

検出日 02/08/2003
クラス Trojan
プラットフォーム Win32
説明

トロイの木馬は、起動すると以下の処理を実行します。

  • 次のHTTPサーバーに接続しようとします。
     87。***。14
    
    
    
    69。***。224
    
    
    
    
  • ディレクトリを作成します。
    
    
    
    %System%<rnd> 

    ここで、<rnd>はランダムな5桁の10進数です。

  • ファイルを本体から抽出し、システムに保存します:
     %System%<rnd> svchost.exe 

    (525 312バイト、 "not-a-virus:Monitor.Win32.Ardamax.ae"としてKaspersky Anti-Virusによって検出された)

  • 抽出されたファイルを起動して実行します。
  • 次のシステムレジストリキーの値を変更します。
    
    
    
    [HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer]
    
    
    
    "NofolderOptions" = 0
    
    
    
    
    
    
    
    [HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]
    
    
    
    "DisableTaskMgr" = 0
    
    
    
    
    
    
    
    [HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]
    
    
    
    "DisableRegistryTools" = 1
    
    
    
    

    最後のキーを変更すると、レジストリエディタが無効になります。

  • 次のファイルを作成します。
    
    
    
    %System%setup.ini(96バイト) 

    以下の内容で

    
    
    
    [Autorun]
    
    
    
    Open = regsvr.exe
    
    
    
    Shellexecute = regsvr.exe
    
    
    
    ShellOpencommand = regsvr.exe
    
    
    
    シェル=オープン
    
    
    
    
  • 次のパラメータを使用してシステムコマンドインタプリタ "cmd.exe"を起動します。
     / C AT /削除/はい

    これにより、Windowsタスクスケジューラでスケジュールされたすべてのタスクがキャンセルされます。

     / C AT 09:00 / interactive / EVERY:m、t、w、th、f、s、su%システム%svchost.exe 

毎日9時にWindowsタスクスケジューラがトロイの木馬のコピーを起動します。


オリジナルへのリンク