%windir%navapw32.exe (Webで検索)
|
危険説明 |
W32.Joot.A@mm は大量メール発信ワームで、自身をコンピュータ上で見つけた電子メールアドレスに送信しようとします。 公開共有ファイルや P2P ファイル共有ネットワーク Kazaa, iMesh, and Grokster を経由して拡散します。 当該ワームは幾つかのアンチウイルス プロセスやパーソナル ファイアウォール アプリケーションを無効化しようとします。 コード上の幾つかのバグにより、作者の意図どうりに機能しないことがあります。 自身をファイル名 %Windir%Regedit.exe.tmp としてコピーします。 %Windir%Regedit.exe は新規の仮想デスクトップ上で実行され %Windir%Regedit.exe.tmp はそのプロセス空間に挿入されます。 Kazaa、iMesh、および、Grokster の共有フォルダの場所を、次のレジストリキーで読み出します: HKEY_LOCAL_MACHINESoftwareGroksterLocalContent HKEY_LOCAL_MACHINESoftwareiMeshClientLocalContent HKEY_LOCAL_MACHINESoftwareKazaaLocalContent 自身を次の名前でコピーします: %Windir%Navapw32.exe %Windir%SBBServ.exe 次の値を追加します: \"ScriptBBlocking\"=\"SBBServ.exe\" を以下のレジストリキーに追加します: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices (In Windows 95/98/Me.) 次の値を追加します: NAV Agent=\"navapw32.exe\" を以下のレジストリキーに追加します: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun また、system.ini ファイルの [boot] セクションおよび、Win.ini ファイルの \"run=\" 行に自分自身を追加しようとします。 次の拡張子を持つファイル内でメールアドレスを探します。 .html; .htm; .tmp; .bak その後、ワームは上記で発見したメールアドレスすべてに対し、次のレジストリキーから収集した電子メールアカウントの詳細情報を使って自分自身を送信します: HKEY_CURRENT_USERSoftwareMicrosoftInternet Account ManagerAccounts そのメールには、次の特徴があります: 件名: Hi! 本文: This is a nice game I found. Beat my score: 5386 Points! Try it! :) See you later! 件名: Something funny! 本文: This is my little test このワームは、自身の拡散活動を行いやすくなるようにするために、次のレジストリ値を改ざんします: HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanManFlags HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanManParm1enc HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanManParm2enc HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanManPath HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanManRemark HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionNetworkLanManType |
削除方法 |
当該ワームを RegRun Startup Optimizer を使用して自動的に削除してください。 |
補足
|
[RegRun Startup Optimizerを使って]という記述は、Greatis Software社のRegRun製品の一部の機能です。削除のために特に本ツールを使う必要はありません。レジストリエディタ(Regedit)など、Windowsのスタートアップ エントリに登録されたプログラムを削除できるツールを使うことで除去が可能です。または、HijackThis, XRayPCなども同様の機能を提供しています。 |
MD5チェックサム |
|
最終変更日 |
2005/11/04 (Fri) |
Powered by 