ZeroAccess.hr」はWindowsオペレーティングシステムに感染可能なルートキットです。ここ数カ月でマシンの感染方法に大きな変化が見られます。以前、ZeroAccessは、システム起動時に昇格された権限で動作するため、システムファイルを自身のカーネルモードコンポーネントに書き換えることにより、カーネルに感染していましたが、このバージョンにはカーネルモードコンポーネントは存在せず、完全にユーザ空間で動作します。「ZeroAccess.hr」は通常、悪質な実行ファイルによってシステムにインストールされます。ZeroAccessのドロッパが実行されると、ルートキットをインストールし、以下の動作を実行します。ファイルをドロップ(作成)します。・次に、dllファイルである「n」がservices.exe、explorer.exeに挿入されます。・ZeroAccess.hrの複数のインスタンスが作成されるのを防ぐため、「SHIMLIB_LOG_MUTEX」という名前のMutexを作成します。・以下のIPアドレスに接続しようとします。・以下のレジストリキーが作成されます。・以下のレジストリの値が追加されます。・以下のレジストリの値が改変されます。・上記のレジストリにより、WMIと呼ばれるWindowsのコアマネジメントの一部である「wbemess.dll」の代わりにZeroAccess.hrがロードされるようにします。・以下のレジストリキーが削除されます。・以下のレジストリの値が削除されます。・ZeroAccess.hrはシステムにインストールされているセキュリティソフトウェアに関連するレジストリキーを削除します。7およびVistaでは、services.exeに存在する704バイトの「ScRegisterTCPEndpoint」関数に悪質なコードを上書きします。・上記の画像により、services.exeの関数を上書きします。NTFSレコードの拡張属性に悪質なコンテンツを格納します。・上記の画像はNTFSの拡張属性です。感染した「services.exe」がロードされると、悪質なコードは実際に悪質なコードが存在する拡張属性を読み取ります。・上記の画像には、EAのハッシュをチェックしてロードする関数が表示されています。Windowsが同じアドレスでservices.exeをロードさせるASLR機能をservices.exeから取り除きます。・上記の画像にはASLRが表示されていません。TOPへ戻る以下の症状が見られる場合、このウイルスに感染している可能性があります。通常、ZeroAccessはさまざまなソースからマシンに届くドロッパコンポーネントによってインストールされます。最近の亜種は偽のウイルス対策ソフトウェアと一緒に届くことが確認されています。上記のファイルおよびレジストリの活動が見られます。上記のネットワーク接続が存在します。ZeroAccessはさまざまなソースからマシンに届くドロッパコンポーネントによってインストールされます。最近の亜種は偽のウイルス対策ソフトウェアと一緒に届くことが確認されています。■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。