Kaspersky Anti-Virus for Windows Workstation 6.0 MP3 (ビルド 6.0.3.837)

Windows ベースのワークステーションおよびサーバに対するネットワークワーム Net-Worm.Win32.Kido (別名：Conficker、Downadup) の感染について、対処方法をお知らせいたします。

ネットワーク感染の症状

1. 感染した PC がネットワーク上にある場合は、感染 PC からのネットワーク攻撃が開始されるため、トラフィック量が上昇します

2. 侵入検知システムが有効になっているアンチウイルス製品をお使いの場合は、Intrusion.Win.NETAPI.buffer-overflow.exploit 攻撃が通知されます

3. ほとんどのアンチウイルス企業の Web サイトにアクセスできなくなります (avira、avast、esafe、drweb、eset、nod32、f-secure、panda、kaspersky など)

4. Net-Worm.Win32.Kido に感染したコンピュータで、アクティベーションコードを使用して Kaspersky Anti-Virus をアクティベートしようとすると、異常終了が発生し、以下のような内容のエラーが返されます：

• アクティベーションでシステムエラー 2 が発生しました
• アクティベーションエラー：サーバ名を解決できません
• アクティベーションエラー：サーバに接続できません

Net-Worm.Win32.Kido ファミリーの概要

1. リムーバブルドライブ上 (場合によってはネットワーク上の共有フォルダ) に、autorun.inf ファイルと RECYCLED\{SID<....>}\RANDOM_NAME.vmx ファイルを作成します

2. ランダムな名前の DLL ファイルとして、自分自身を保存します。例：c:\windows\system32\zorizr.dll

3. ランダムな名前のシステムサービスとして、自分自身を保存します。例：knqdgsm

4. MS Windows の脆弱性 MS08-067 を利用して、445, 135 TCP ポート経由でネットワークコンピュータに攻撃を試みます

5. 感染したコンピュータの外部 IP アドレスを調べるために、以下のサイトに接続を試みます (これらサイトへの接続試みを監視するように、ファイアウォールを設定することをお勧めします)：

• http://www.getmyip.org
• http://getmyip.co.uk
• http://www.whatsmyipaddress.com
• http://www.whatismyip.org
• http://checkip.dyndns.org

感染駆除の方法

このワームを削除するには、特別なユーティリティである KK.exe を使用してください。このユーティリティの最新バージョンは、NTFS 専用です。FAT32 には、これ以降のバージョンで対応の予定です。Microsoft Windows 95 および Windows 98、は、このネットワークワームに感染しません。

このワームによる感染を防ぐため、次の手順に従うことをお勧めします：

• 脆弱性に対応するパッチを Microsoft から入手してインストールします：MS08-067, MS08-068, MS09-001 (これらのページから、感染した PC の OS に対応するパッチをダウンロードしてインストールしてください)
• リムーバブルメディアから実行ファイルが自動実行しないように、-a スイッチを指定して KK.exe ユーティリティを起動します
• ネットワークのフィルタリングを使用して、TCP ポート 445 および 139 へのアクセスを遮断します

KK.exe は、感染 PC でローカル実行することも、Kaspersky Administration Kit を使用してリモート実行することもできます。

ローカルで感染を駆除するには：

1. 駆除ツールのアーカイブ KK.zip をダウンロードし、感染 PC 上のフォルダに解凍します

2. 感染した PC に、いずれかのカスペルスキー製品がインストールされていることを確認します：

- Kaspersky Anti-Virus for Windows Workstation 6.0
- Kaspersky Anti-Virus SOS 6.0
- Kaspersky Anti-Virus for Windows Server 6.0
- Kaspersky Anti-Virus for Windows Server 6.0 Home Server Edition


ユーティリティの実行中は、カスペルスキー製品のファイルアンチウイルス機能を無効にしてください。.




3. KK.exe を実行します




スイッチを指定せずに KK.exe を実行した場合、実行されるのは次の内容です：進行中の感染の停止 (スレッド停止、フックの削除)、メモリのスキャン、感染しやすい重要な領域のスキャン、レジストリのクリーンナップ、フラッシュドライブのスキャン




スキャンが終了すると、コマンドプロンプトのウィンドウが開きます。任意のボタンを押すとウィンドウが閉じます。コマンドプロンプトのウィンドウが自動的に閉じるようにするには、KKiller.exe を実行するときに -y を指定してください。

4. スキャンが終了するまで待ちます

KK.exe ユーティリティを実行するコンピュータに Agnitum Outpost Firewall がインストールされている場合は、ユーティリティの実行後に必ずコンピュータを再起動してください。

5. カスペルスキーのアンチウイルス製品を使用して、コンピュータの完全スキャンを行います




Administration Kit 経由で感染を駆除するには：

1. 駆除ツールのアーカイブ KK.zip をダウンロードし、フォルダに解凍します

2. Administration Kit の管理コンソールで、KK.exe のインストールパッケージを作成します。インストールパッケージの [アプリケーション] 設定で、[指定した実行ファイルのインストールパッケージを作成する] を選択します

ユーティリティの実行が終わったときにコンソールウィンドウが自動的に閉じるようにするには、[実行ファイルのコマンドライン (オプション)] フィールドに「-y」を指定してください。



3. このパッケージを使用して、感染したネットワークコンピュータまたは感染が疑われるネットワークコンピュータを対象とする「アプリケーション導入タスク」(グループタスクまたはグローバルタスク) を作成します

ユーティリティ KK.exe は、企業ネットワーク内のすべてのコンピュータ上で実行できます。

タスクを実行してください。

4. ユーティリティの実行中は、クライアント PC 上のカスペルスキー製品のファイルアンチウイルス機能を無効にしてください


5. タスクを開始します

Administration Kit 経由でユーティリティを実行すると、ユーティリティは SYSTEM 権限で起動するため、ネットワークドライブおよび共有フォルダにアクセスできません。ネットワークドライブまたは共有フォルダにレポートを書き込みたい場合は、「run as」コマンドを使用してユーティリティを実行してください。

6. ユーティリティの作業が終了したら、カスペルスキーのアンチウイルス製品を使用して、各コンピュータのスキャンを行います
KK.exe ユーティリティを実行するコンピュータに Agnitum Outpost Firewall がインストールされている場合は、ユーティリティの実行後に必ずコンピュータを再起動してください。



ユーティリティの詳細情報を参照するには、KK.exe を実行するときに -help を指定してください。

ドメインネットワーク内では、まず「Administrators」グループおよび「Domain Admins」グループからログインしたユーザのドメインとコンピュータの感染を駆除することが重要です。これらの感染駆除を最初に行わないと、ドメイン内の PC すべてが 15 分ごとに感染を繰り返します。

 

 

KK.exe をコマンドラインで管理する場合のスイッチ：

たとえば、フラッシュドライブをスキャンし、report.txt (KK.exe のセットアップフォルダ内に作成される) に詳細レポートを書き出すには、次のコマンドを使用します：

KK.exe -r -y -l report.txt -v

KK.exe バージョン 3.4.6 以降では、以下のリターンコード (%errorlevel%) が返されます：

3 - 悪意あるストリームが検知され、削除された (ワームがアクティブであった)

2 - 悪意あるストリームが検知され、削除された (ワームはアクティブではなかった)

1 - 悪意あるタスク、または関数のインターセプトが検知された (この PC 自体は感染していないが、ネットワーク上に感染 PC が含まれる可能性あり。管理者の対応が必要)

0 - 何も検知されなかった