スポンサーサイト

上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

Unlockerに仕込まれたトロイの木馬の正体

ファイルロックを強制解除できる定番ツールUnlockerについて、バージョン1.8.7でトロイの木馬が検出されるという話をインターネット上で見かけました。Microsoft Security Essentials(MSE)が「TrojanClicker:Win32/Yabector.gen」として検出するようです。

私は、まさにそのUnlockerのバージョン1.8.7を使っていました。我が家のパソコンにもウイルス・スパイウェア対策のソフトは入っていましたが、MSEではなく、今まで検知されませんでした。

いろいろ試してみたところ、以下のことがわかりました。

Unlockerのインストール時に「eBay shortcuts」にチェックを入れると、以下のようなeBay関連のファイルがインストールされます(Windows XPの場合):

  • C:\Program Files\Unlocker\eBay_shortcuts_1016.exe
  • C:\Documents and Settings\ユーザ名\Application Data\Desktopicon\eBayShortcuts.exe
  • C:\Documents and Settings\ユーザ名\Application Data\Microsoft\Internet Explorer\Quick Launch\eBay.lnk
  • C:\Documents and Settings\ユーザ名\Start Menu\eBay.lnk
  • C:\Documents and Settings\ユーザ名\デスクトップ\eBay.lnk

最初の行の「eBay_shortcuts_1016.exe」は、eBay関連のファイルをセットアップするインストーラです。これを実行すると、二行目から五行目までに挙げた、実行ファイルとそのショートカットを作成します。二行目のeBayShortcuts.exeを実行すると、ブラウザが開いて

http://www.adon-demand.de/red/2302/?s=日本&c=1

というアドレスにアクセスします。これはeBayのトップページ(http://www.ebay.com/)へのリダイレクトです。あと、config.iniを作成します。その中身は

[Shortcut]
日本=1

といったものです。「日本=1」の右辺はeBayShortcuts.exeの実行回数です。

MSEをインストールして、実際にスキャンしてみると、eBayShortcuts.exeが原因でUnlockerのインストーラがトロイの木馬として検出されることがわかります:

カテゴリ: トロイの木馬 (通知型)

説明: このプログラムは、バックグラウンドでインターネットに接続します。

推奨: このソフトウェアをすぐに削除します。

プライバシーを侵害する、またはコンピューターに損害を与えるおそれのあるプログラムが Microsoft Security Essentials によって検出されました。これらのプログラムが使用するファイルは削除されず、引き続きアクセスできます (推奨されません)。これらのファイルにアクセスするには、[許可] 操作を選択して [操作の適用] をクリックします。このオプションを使用できない場合は管理者としてログオンするか、ローカル管理者にお問い合わせください。

項目:
containerfile:C:\Documents and Settings\ユーザ名\デスクトップ\unlocker1.8.7.exe
file:C:\Documents and Settings\ユーザ名\デスクトップ\unlocker1.8.7.exe->(nsis-6-eBay_shortcuts_1016.exe)->(nsis-1-eBayShortcuts.exe)

上に列挙したeBay関連のファイルをすべて削除すれば、他のファイルからは何も検出されません。つまり、Unlockerの本体はシロだということです。

ちなみに、Unlockerに付属のアンインストーラ(uninstall.exe)を実行しても、eBay関連のファイルは削除されません。それから、C:\Documents and Settings\ユーザ名\Application Data\Desktopiconというフォルダは、Windows XPに標準のものではなく、Unlockerインストール時に作成されるものですので、削除しても全く問題ありません。

eBayのショートカットについて、Unlockerの公式サイトのChange Logで触れられています。バージョン1.8.6から導入されたようです:

Promotional feature: Added fully optional shortcuts to eBay during the installation. Simply untick "eBay shortcuts" in the choose components page during install if you do not wish to have those.

Unlockerのインストール時に「eBay shortcuts」のチェックを外せば、eBayShortcuts.exeとそのショートカットは作成されません。

あと、eBay shortcutsの話とは全く別の話になりますが、Unlockerを起動するたびにインターネットにアクセスするのを不審に思ったことはないでしょうか。これは、アップデートのチェックを行っているためで、Unlockerのインストール時に「アップデートをチェックする」のチェックを入れるとそのような動作をします。このチェックを外せばインターネットにアクセスしません。

【theme : セキュリティ
【genre : コンピュータ

プロフィール

よしいず

Author:よしいず
MATHEMATICS.PDFというウェブサイトを運営しています。

管理の都合上、トラックバックとコメントはオフにしてあります。ブログ経験者なら分かっていただけると思いますが、スパム(アダルトやその他の宣伝)ばかりなのが現実です。

リンクは自由です。当サイトの記事に対する間違いの指摘・意見・感想などを述べた記事からのリンクは歓迎です。ただし、ブログ記事アップ直後はミスが多く、頻繁に修正します。場合によっては削除する可能性もあります。その際、何も断りもなく修正・削除しますがご了承ください。内容を参考にする場合には投稿後一週間ほど様子を見てからにしてください(笑)。

記事の間違いを指摘するときは、その具体的箇所、理由(仕様に反するなど)・根拠(参考にした文献など)、代替案(同じ結果を得るための正しいやり方)も教えてください。そうしないと、(指摘される側および第三者はその時点では無知の状態なので、)どこが間違いなのか分かりませんし、本当に間違っているのかどうかが判断・検証できません。実際、間違いだと指摘されたことが結局は正しかったというケースもありますので。

このブログのタイトル一覧

リンク
月別アーカイブ
カテゴリ
最新記事
検索フォーム
RSSリンクの表示
上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。