Antivirus Action

「ホームページを見ているだけ」でも感染しちゃう系

　↓

「ホームページを見ているだけ」でも感染しちゃう系2

の続き。

Antivirus Actionの生態調査・・・というほどのもんでもない。

まずはAntivirus Actionの本体

ファイル名：dsxbnnutsbl.exe

場所：C:\Documents and Settings\user\Local Settings\Temp\eupfcqdha

VIRUSTOTALの結果はこちら　2010-12-02 20:36:20(UTC)の時点で 10/43

関連レジストリ：

その他

syssvc.exe

場所：C:\Documents and Settings\user\Local Settings\Application Data

VIRUSTOTALの結果はこちら　2010-12-03 13:15:34(UTC)の時点で 25/43

ファイル名：file.exe

場所：C:\Documents and Settings\user

VIRUSTOTALの結果はこちら　2010-12-02 20:46:20(UTC)の時点で　10/42

あとIEのProxy設定が勝手にONになってます。(127.0.0.1 : 23012)

　

という事で他に追加(変更)されたレジストリの中で関係してそうなもの(こちらのサイトを参考に抽出してみました)

HKEY_CURRENT_USER\Software\ere94fe5o32

HKEY_CURRENT_USER\Software\ere94fe5o32 knkd dword:00000001

HKEY_CURRENT_USER\Software\ere94fe5o32 id "84.2"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run gqjqhdim "C:\DOCUME~1\user\LOCALS~1\Temp\eupfcqdha\dsxbnnutsbl.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings ProxyEnable dword:00000000 dword:00000001

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings ProxyServer "http=127.0.0.1:23012"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings ProxyOverride "<local>"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations LowRiskFileTypes ".exe"

　

file.exeは感染初期に動き回ってdsxbnnutsbl.exeに橋渡しするのがお仕事みたいなのでまだ分かるんですが

syssvc.exeは感染時に動いた様子無いし、何なのかよくわからんなー。

　

暇な人の為にProcessMonitorで取得した感染時のログから、file.exe・syssvc.exeそれぞれの動きをcsv形式で抽出してたものを置いておきますね(　ﾟoﾟ)っ。

Logfile-file.exe.CSV

Logfile-dsxbnnutsbl.exe.CSV

当サイトはお手軽悩み相談サイトではありませんので
「このAntivirus Actionにやられちゃったみたいなんですけどどうやったら駆除できるんですか！」なんて質問されても
「いさぎよくシステムの再インストールしちゃいなさい」と冷たくあしらっちゃいますのであしからず。

Comment [1]

No.1囲さん

ライブドアもとい、バックドアっぽいっすねぇ。。。
すでにVTへ多くの方が投げているのでスクリプトを含めベンダーには頑張ってほしす。
Windows怖いってことになりませんように(-人-)

コメントする

公開されません

（いくつかのHTMLタグ（a, strong, ul, ol, liなど）が使えます）

このページの上部へ

このブログについて

  • bananaのブログです。
  • 連絡その他は

    まで。

サイト内検索

最近のエントリー

  1. 暇を持て余した親子のパンスト遊び
  2. 今年もよろしく
  3. あけました
  4. 近況
  5. かくかくしかじか
  6. 便座カバー
  7. パッキンカビ取りおじさん2
  8. パッキンカビ取りおじさん
  9. ハローワールド
  10. 痛くないのかね

最近のコメント

月別アーカイブ

  1. 2019年8月 [1]
  2. 2018年1月 [1]
  3. 2017年1月 [1]
  4. 2016年11月 [1]
  5. 2016年10月 [1]
  6. 2016年6月 [1]
  7. 2016年5月 [2]
  8. 2016年4月 [1]
  9. 2016年2月 [2]
  10. 2016年1月 [4]
  11. 2015年12月 [2]
  12. 2015年11月 [1]
  13. 2015年10月 [3]
  14. 2015年9月 [4]
  15. 2015年8月 [17]
  16. 2015年7月 [13]
  17. 2015年6月 [19]
  18. 2015年5月 [22]
  19. 2015年4月 [21]
  20. 2015年3月 [23]
  21. 2015年2月 [22]
  22. 2015年1月 [28]
  23. 2014年12月 [27]
  24. 2014年11月 [24]
  25. 2014年10月 [21]
  26. 2014年9月 [19]
  27. 2014年8月 [8]
  28. 2014年7月 [24]
  29. 2014年6月 [25]
  30. 2014年5月 [24]
  31. 2014年4月 [23]
  32. 2014年3月 [27]
  33. 2014年2月 [25]
  34. 2014年1月 [28]
  35. 2013年12月 [30]
  36. 2013年11月 [24]
  37. 2013年10月 [27]
  38. 2013年9月 [25]
  39. 2013年8月 [26]
  40. 2013年7月 [29]
  41. 2013年6月 [30]
  42. 2013年5月 [25]
  43. 2013年4月 [28]
  44. 2013年3月 [30]
  45. 2013年2月 [28]
  46. 2013年1月 [30]
  47. 2012年12月 [27]
  48. 2012年11月 [22]
  49. 2012年10月 [25]
  50. 2012年9月 [30]
  51. 2012年8月 [31]
  52. 2012年7月 [30]
  53. 2012年6月 [30]
  54. 2012年5月 [28]
  55. 2012年4月 [30]
  56. 2012年3月 [31]
  57. 2012年2月 [28]
  58. 2012年1月 [31]
  59. 2011年12月 [30]
  60. 2011年11月 [30]
  61. 2011年10月 [31]
  62. 2011年9月 [30]
  63. 2011年8月 [28]
  64. 2011年7月 [30]
  65. 2011年6月 [30]
  66. 2011年5月 [31]
  67. 2011年4月 [28]
  68. 2011年3月 [31]
  69. 2011年2月 [28]
  70. 2011年1月 [29]
  71. 2010年12月 [29]
  72. 2010年11月 [30]
  73. 2010年10月 [31]
  74. 2010年9月 [30]
  75. 2010年8月 [31]
  76. 2010年7月 [29]
  77. 2010年6月 [29]
  78. 2010年5月 [30]
  79. 2010年4月 [28]
  80. 2010年3月 [31]
  81. 2010年2月 [28]
  82. 2010年1月 [35]
  83. 2009年12月 [30]
  84. 2009年11月 [29]
  85. 2009年10月 [32]
  86. 2009年9月 [29]
  87. 2009年8月 [31]
  88. 2009年7月 [31]
  89. 2009年6月 [30]
  90. 2009年5月 [30]
  91. 2009年4月 [30]
  92. 2009年3月 [30]
  93. 2009年2月 [28]
  94. 2009年1月 [31]
  95. 2008年12月 [31]
  96. 2008年11月 [31]
  97. 2008年10月 [30]
  98. 2008年9月 [31]
  99. 2008年8月 [30]
  100. 2008年7月 [32]
  101. 2008年6月 [30]
  102. 2008年5月 [31]
  103. 2008年4月 [30]
  104. 2008年3月 [31]
  105. 2008年2月 [30]
  106. 2008年1月 [27]
  107. 2007年12月 [31]
  108. 2007年11月 [28]
  109. 2007年10月 [29]
  110. 2007年9月 [29]
  111. 2007年8月 [31]
  112. 2007年7月 [30]
  113. 2007年6月 [30]
  114. 2007年5月 [31]
  115. 2007年4月 [29]
  116. 2007年3月 [31]
  117. 2007年2月 [28]
  118. 2007年1月 [33]
  119. 2006年12月 [30]
  120. 2006年11月 [30]
  121. 2006年10月 [31]
  122. 2006年9月 [30]
  123. 2006年8月 [32]
  124. 2006年7月 [33]
  125. 2006年6月 [28]
  126. 2006年5月 [32]
  127. 2006年4月 [32]
  128. 2006年3月 [33]
  129. 2006年2月 [29]
  130. 2006年1月 [32]
  131. 2005年12月 [32]
  132. 2005年11月 [35]
  133. 2005年10月 [37]
  134. 2005年9月 [36]
  135. 2005年8月 [34]
  136. 2005年7月 [38]
  137. 2005年6月 [34]
  138. 2005年5月 [40]
  139. 2005年4月 [36]
  140. 2005年3月 [33]
  141. 2005年2月 [36]
  142. 2005年1月 [33]
  143. 2004年12月 [42]
  144. 2004年11月 [41]
  145. 2004年10月 [16]