他のマルウェアからの作成マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。マルウェアは、特定の脆弱性を利用した感染活動を実行します。侵入方法マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。インストールマルウェアは、以下のファイルを作成します。.)マルウェアは、以下のファイルを作成し実行します。.)その他マルウェアは、以下の脆弱性を利用して感染活動を実行します。Vulnerability<補足>インストールマルウェアは、以下のファイルを作成します。)マルウェアは、以下のファイルを作成し実行します。)その他マルウェアは、以下を実行します。マルウェアは、以下のWebサイトに接続して、スクリプトをダウンロードして実行します。http://v.{BLOCKED}h.com/v{ユーザドメイン}http://w.{BLOCKED}h.com/page.html?p{コンピュータ名}ポート60124は、Mutexとして機能し、1つのインスタンスのみ実行します。マルウェアは、ユーザ"k8h3d"が存在する場合、削除します。その後、マルウェアは、感染コンピュータまたは脆弱なコンピュータ上に同じユーザ名を作成します。マルウェアは、ローカルネットワークをスキャンして、開いているポート445を検索します。マルウェアは、ポート445が開いているターゲットを見つけた場合、MS17-010の脆弱性を悪用し、以下のコマンドを実行します。%Temp%\p.bat送信したファイルをターゲットのコンピュータで実行マルウェアは、以下の脆弱性を利用して感染活動を実行します。(MS17-010)マルウェアは、以下のスケジュールタスクを追加します。Webサイトにはアクセスできません。マルウェアは、ターゲットのコンピュータへのログインを試みるため、以下のユーザ名とパスワードを使用します。mkatz.iniは、ドメイン、ユーザ名またはパスワードを取得するために解析されます。ユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。2このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。3「Trojan.Win32.MIMIKATZ.ADT」で検出したファイル名を確認し、そのファイルを終了します。タスクマネージャに表示されない場合があります。ツールを使用しマルウェアのファイルを終了してください。ついては、こちらをご参照下さい。表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。セーフモードについては、こちらをご参照下さい。検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。マルウェアのプロセス終了:最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用いてウイルス検索を実行し、検出したマルウェアのファイル名を確認し、メモ等をとってください。タスクマネージャを起動します。2008の場合、CTRL+SHIFT+ESCを押し、[プロセス]タブをクリックします。[詳細]タブをクリックします。実行中のプログラムのリストから、上記で検出したマルウェアのファイルを選択します。使用しているWindowsのバージョンに応じて、[タスクの終了]、または、[プロセスの終了]をクリックします。同様の手順で、上記で確認したマルウェアのファイルをすべて終了してください。マルウェアのプロセスが終了されているかを確認するには、タスクマネージャを閉じ、再度開いてください。タスクマネージャを閉じてください。{実行するタスク}には以下が当てはまります。2003の場合:[スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。[名前]の欄に入力します。持つファイルを右クリックします。[プロパティ]をクリックします。[実行]フィールドで、表示されている{実行するタスク}を確認します。上記の{実行するタスク}と文字列が一致するタスクを削除します。2012の場合:Windowsタスクスケジューラを開きます。2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。左側のパネルで、[タスクスケジューラライブラリ]をクリックします。中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。中央下部のパネルで、[アクション]タブをクリックします。[詳細]の欄で、{実行するタスク}を確認します。文字列が一致するタスクを削除します。5以下のファイルを検索し削除します。]コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。場合:[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。[ファイル名のすべてまたは一部]に以下のファイル名を入力してください。%Temp%\mkatz.ini%Temp%\m.ps1%Windows%\System32\svhost.exe%Windows%\SysWOW64\svhost.exe%Windows%\System32\drivers\svchost.exe%Windows%\SysWOW64\drivers\svchost.exe%Temp%\svchost.exe%Temp%\svvhost.exe[探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。これにより、ファイルが完全に削除されます。註:ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。場合:Windowsエクスプローラ画面を開きます。場合:[スタート]-[コンピューター]を選択します。場合:画面の左下隅を右クリックし、[エクスプローラー]を選択します。[コンピューターの検索]に、以下を入力します。これにより、ファイルが完全に削除されます。おいて上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。6最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.Win32.MIMIKATZ.ADT」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。7以下の修正パッチをダウンロードし適用します。この脆弱性に対する修正パッチを適用するまで、該当製品の使用をお控えください。この製品の製造元が公開する正式な修正パッチをダウンロードし適用することをお勧めします。アンケートにご協力ください。