DOSのバッチで配布されるトロイの木馬型不正プログラム「SPYBOT.A」

■URL
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=BAT_SPYBOT.A

　トレンドマイクロ株式会社は、DOSのバッチファイルで配布され、複数のハッキングツールを連動させるトロイの木馬型不正プログラム「BAT_SPYBOT.A」を警告した。危険度「中」、ダメージ度「高」、感染力「高」となっている。

　SPYBOT自身は「HACK.BAT」というファイルで配布され、ネットワークリソースへの接続、ファイルのコピーおよびリモートからの起動を試みる。また、「HFIND.EXE（正体はTROJ_HACLINE.A）」「NWIZE.EXE（TROJ_PCGHOST.413）」「NTSERVICE.EXE（TROJ_NTSERV.A）」といったトロイの木馬型不正プログラムをコピーする。

　これら不正プログラムが起動されると、Administratorのパスワードを辞書攻撃と総当り攻撃で解析しようとする。辞書には「1234」「11111」「root」などの文字列が格納されており、簡単なパスワードを設定しているとクラッキングされる可能性が高くなる。この他、キーボードとマウスの操作が監視されたり、ユーザー名「admin」、パスワード「KKKKKKK」とする不正アカウントが作成される。また、ランダムなIPアドレスに対してSPYBOTの感染活動も行なわれる。

　感染した場合は、ウイルス対策ソフトでスキャンし、BAT_SPYBOT.A、TROJ_HACLINE.ATROJ_PCGHOST.413、TROJ_NTSERV.Aとして検出されたファイルをすべて削除することで対処できる。

(2003/6/10)

[Reported by okada-d@impress.co.jp]