Trojan.Win32.PKZ300b

親クラス: TrojWare

トロイの木馬は、ユーザーによって許可されていないアクションを実行する悪意のあるプログラムであり、データを削除、ブロック、変更またはコピーし、コンピュータやコンピュータネットワークのパフォーマンスを阻害します。ウイルスやワームとは異なり、このカテゴリに該当する脅威は、自分自身のコピーを作成することも、自己複製することもできません。トロイの木馬は、感染したコンピュータで実行するアクションの種類に応じて分類されます。

クラス: Trojan

ユーザーの活動を電子的に偵察する（キーボード入力の傍受、スクリーンショットの取得、アクティブなアプリケーションのリストの取得など）ために設計された悪質なプログラム。収集された情報は、電子メール、FTP、およびHTTP（リクエストでデータを送信すること）を含むさまざまな手段によってサイバー犯罪者に送信されます。

プラットフォーム: Win32

Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム（Windows XP、Windows 7など）上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。

説明

技術的な詳細

PKZIP300は、178981バイトの長さのPKZ300B.EXEという名前の自己解凍型アーカイブとして配布されます。

このアーカイブには、以下の5つのファイルが含まれています。

ファイル名lenそれは何ですか？-------- ---- ------------PKZINST.EXE 5328これは本当のトロイの木馬プログラムですWHATSNEW.300 2417 PkZip 2.04cからのWhatsNew、3.04から2.04cへの置き換えCOMPRESS.000 124005 ARJ 2.41、余分なバイト数COMPRESS.001 116260 ARJ 2.41FILE_ID.DIZ 101 DOCファイル.Pkzip 3.0bとしてアナウンスされます。

PKZINST.EXEというトロイの木馬は1つだけです。それはターボパスカルで書かれました。実行中はメッセージが表示されます：

PKZIP（R）インストールユーティリティバージョン3.00b 4-05-950Copr。 1989-1995 Pkware Inc.すべての権利を保有します。Pkzip Reg。 US Pat。およびTm。オフ。初期化中、これは数分かかる場合があります....

2つのコマンドを実行します。

COMMAND.COM / C書式c：> NULLCOMMAND.COM / C deltree / yc：> NULL

幸いにも、そのトロイの木馬の作者はコンピュータの知識が不十分で、最初のコマンドはDOSの確認を待っています：

警告：非リムーバブルディスクのすべてのデータドライブC：失われます！フォーマット（Y / N）を続行しますか？

この要求は、リセットまたはCtrl-C / Breakで終了させることができます。両方の場合、トロイの木馬はデータに何の害もなく終了します。 Ctrl-Cの場合は、使用方法だけを通知します。

待ってくれてありがとう、バカ。あなたは私たちと犯してはいけません。

DOSに戻ります。

このトロイの木馬にはもう1つのバグがあります。リダイレクト "> NULL"はカレントディレクトリにファイルNULLを作成し、ウイルス作成者が "> NUL"と書かなければならないメッセージをすべて無効にします。

私は、ウィルス作者がアルファベット順にDOSごとにDOSを学習し、 "D"と "F"で始まるコマンドをどのように使うのかを知っていますが、まだN（Null）命令には達していません彼のDOSユーザーズガイドを読んでください。

AVPは、抽出された実行可能ファイル内の "Trojan.PKZ300b"という名前のトロイの木馬、および自己解凍形式のアーカイブを検出します。

も参照してください

お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com