・BackDoor-CCTはW32/Dumaruの亜種と非常によく似ています(W32/Dumaru.wを参照してください)。ターゲットマシンのバックドアを開き、マシンからデータを詐取します。詐取するデータには、以下のものがあります。電子メールのパスワードアプリケーションのパスワード(例:FARマネージャ)WebMoneyデータ記録されたキーストローククリップボードのデータ・BackDoor-CCTは、オンラインの金融取引に関連するキーストロークを記録するために、特定な文字列のウィンドウタイトルを持つアプリケーションを攻撃します。以下の文字列を含むタイトルのウィンドウが攻撃されます。・また、BackDoor-CCTはターゲットマシンの一時インターネットファイルからデータを収集します。・データはHTTPを介してハッカーに送信されます(完成したHTMLフォームは%WinDir%\TEMP\feff35a0.htmに書き込まれ、IEXPLORE.EXEが起動され、ポスティングが開始されます)。ユーザは以下のドメインへのHTTPアクセスを遮断する必要があります。・また、詐取されたデータは電子メールを介してハッカーに送信されます。BackDoor-CCTは自身のSMTPエンジンを内蔵し、送信メッセージを作成します。・バックドア機能には、FTPサーバ、スクリーンキャプチャ、webcamコントロールおよびファイル実行が含まれます。TOPへ戻る以下の症状が見られる場合、このウイルスに感染している可能性があります。・予期せず、上記のドメインへの送信HTTPトラフィックが存在します。・記載されているファイルおよびレジストリキーが存在します。・バックグラウンドで動作する複数の予期しないIEXPLORE.EXEのインスタンスが存在します(表示されないウィンドウ)。・BackDoor-CCTはWindowsSystemフォルダに自身をPRNTA.EXEおよびPRNTC.EXEというファイル名でインストールします。・コピーがWindowsSystemフォルダにPRNTB.EXEというファイル名で作成(ドロップ)されます。・キーロギングDLLファイルはPRNTSVR.DLLとして%WinDir%にインストールされます。・以下のレジストリキーが追加されて、システムの起動をフックします。・以下のキーが変更されます。・また、以下のレジストリキー追加されます。・クリップボードのコンテンツおよび記録されたキーストロークは、以下のファイルにそれぞれ書き込まれます。・詐取したデータを、HTTPを介してハッカーへ送信するのを促すために作成(ドロップ)されたHTMLフォームが以下に書き込まれます。MIMEメッセージが、以下に書き込まれます。■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。