・W32/Lovgate.a@M(SMTPエンジンを内蔵)は電子メールを介して繁殖し、ネットワーク共有内に自身をコピーします。バックドアコンポーネントをドロップ(作成)することがあります(感染マシンのポート10168が開かれます)。・実行すると、自身を以下のようなファイル名で%System%フォルダにコピーします。WinGate.exerpcsrv.exesyshelp.exewinrpc.exeWinRpcsrv.exe・バックドアコンポーネントは、以下のような様々なファイル名で何度も%System%ディレクトリに落とし込まれることがあります。NT/2000システムにだけ見られました。ファイルの大きさは77,824バイトでした。ウィンドウズシステムフォルダです。XPではC:\Windows\System32)・以下のレジストリキーが追加されシステムの起動をフックします。-remoteshell・同様にバックドアコンポーネント用にもレジストリキーが追加され、システムの起動がフックされます。ondll_reg・以下のレジストリキーがテキストファイルの実行をフックするために改変されます。Service'(WINRPCSRV.EXEというファイル名のワームのコピーを起動するように設定する)という表示名でサービスとして自身をインストールします。落とし込まれたバックドアコンポーネント(TASK.DLL)は2つのサービスとして、以下の表示名でインストールされます。Extension・また、ワームは以下のように’Run’コマンドを追加してWIN.INIファイルを改変します。[windows]run=rpcsrv.exeメーリングコンポーネント・このワームは自身のSMTPエンジンを利用して、ユーザの受信トレイ内のすべての新着メールに対して返信することが可能です。自身を以下に記載するようなファイルとしてメールに添付します。サフィックスを反映しており、一般的な大量メール送信ウイルスよりも繁殖のスピードは遅いです。メッセージがある場合、ワームは以下のように返信します。<ワームコンポーネント・W32/Lovgate.a@Mは、共有ネットワークを介しても繁殖します。共有フォルダ(サブフォルダも含む)を検索して、以下のファイル名で自身をコピーします。fun.exehumor.exedocs.exes3msong.exemidsong.exebillgt.exeCard.EXESETUP.EXEsearchURL.exetamagotxi.exehamster.exenews_doc.exePsPGame.exejoke.exeimages.exepics.exeバックドアコンポーネント・ワームはトロイの木馬コンポーネントをドロップ(作成)することがあります。このトロイの木馬コンポーネントは、4249DATファイル以降でBackdoor-AQJとして検出されます。・ターゲットマシンのポート10168を開いて、電子メールでターゲットマシンの感染をハッカーに通知します。以下のアドレスは受信者情報です。hacker117@163.com・感染マシンに関する情報も同様にハッカーに送信されます。この情報はシステム情報を含む場合もあります。TOPへ戻る以下の症状が見られる場合、このウイルスに感染している可能性があります。・上記のレジストリキー値が存在します。・上記のファイルが存在します。・ターゲットマシンでポート10168が開いています。・W32/Lovgate.a@Mは、電子メールおよびネットワーク共有を経由して繁殖します。開いている共有フォルダ/サブフォルダに自身をコピーし、受信トレイ内のメッセージに対して返信します。・本ページ上部に記載されている検出エンジンとウイルス定義ファイルを使用いただければ、このウイルスを検出、駆除できます。・このウイルスは、システムスタートアップをフックする為に、システムレジストリおよびINIファイルに改変を加えますが、これについても指定のエンジンと定義ファイルを使えば修復されます。・1.DLLファイルはLSASS.EXEプロセスに挿入されており、このことが1.DLLのファイル削除を妨げています。このファイルはBackDoor-AQJとして検出されますが、完全に駆除する為には再起動が必要となります。・なお、スティンガーを使うと再起動する必要なしに、W32/Lovgate@MとBackDoor-AQJを完全に駆除することが出来ます。ME/XP用の駆除ヒントはこちらをご覧ください。