VBS_SOLOW.A
Worm.VBS.Solow.b (Kaspersky), VBS/IE-Title (McAfee), VBS.Solow (Symantec), VBS/Solow.B (Avira), VBS/Sasan-Fam (Sophos)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
詳細
侵入方法
ワームは、リムーバブルドライブを介してコンピュータに侵入します。
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Windows%\{Random}.DLL.VBS
- %System Root%\{Random}.DLL.VBS
(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%Windows%\{Random}.dll.vbs"
他のシステム変更
ワームは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFind = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoRun = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"
ワームは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Hacked by Godzilla"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Hacked by MOOzilla"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Hacked by UC"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Hacked by YaHaa, Your Firewall Is FUCK."
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Malaysian Hackers"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "Protected by CPCT"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "TAGA ETI, MARINDUQUE MABUHAY!!! by: Nicklaus S. Buag"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "TAGA LIPA ARE!"
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Window Title = "TAGA XPRESS-ON KAMI"
ワームは、以下のレジストリ値を変更します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"
(註：変更前の上記レジストリ値は、「user-defined」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion
RegisteredOrganization = "{Random}"
(註：変更前の上記レジストリ値は、「user-defined」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion
RegisteredOwner = "{Random}"
(註：変更前の上記レジストリ値は、「user-defined」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion
ProductId = "{Random}"
(註：変更前の上記レジストリ値は、「user-defined」となります。)
HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\
System\CentralProcessor\0
ProcessorNameString = "{Random}"
(註：変更前の上記レジストリ値は、「user-defined」となります。)
感染活動
ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。
- {drive letter}:\{Random}.DLL.VBS
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
上記INFファイルには、以下の文字列が含まれています。
[AutoRun]
shellexecute=wscript.exe {Random}.dll.vbs
その他
ワームが自身の不正活動を実行するためには、以下のファイルが必要になります。
- wscript.exe
ワームは、Internet Explorer（IE）のタイトルバーに表示される文章を変更するためにレジストリ値を追加します。
ワームは、以下のレジストリキーにレジストリ値「Debugger = "notepad.exe"」を追加します。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistryEditor.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Windowsをセーフモードで再起動します。
手順 3
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {random name} = "%Windows%\{Random}.dll.vbs
- {random name} = "%Windows%\{Random}.dll.vbs
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Hacked by Godzilla"
- Window Title = "Hacked by Godzilla"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Hacked by MOOzilla"
- Window Title = "Hacked by MOOzilla"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Hacked by UC"
- Window Title = "Hacked by UC"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Hacked by YaHaa, Your Firewall Is FUCK."
- Window Title = "Hacked by YaHaa, Your Firewall Is FUCK."
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Hacked by Zay"
- Window Title = "Hacked by Zay"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Malaysian Hackers"
- Window Title = "Malaysian Hackers"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "Protected by CPCT"
- Window Title = "Protected by CPCT"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "TAGA ETI, MARINDUQUE MABUHAY!!! by: Nicklaus S. Buag"
- Window Title = "TAGA ETI, MARINDUQUE MABUHAY!!! by: Nicklaus S. Buag"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "TAGA LIPA ARE!"
- Window Title = "TAGA LIPA ARE!"
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Window Title = "TAGA XPRESS-ON KAMI"
- Window Title = "TAGA XPRESS-ON KAMI"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedt32.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegistryEditor.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe
- Debugger = "notepad.exe"
- Debugger = "notepad.exe"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- NoFind = "1"
- NoFind = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- NoRun = "1"
- NoRun = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- NoFolderOptions = "1"
- NoFolderOptions = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
- DisableRegistryTools = "1"
- DisableRegistryTools = "1"
手順 4
変更されたレジストリ値を修正します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: Hidden = "0"
To: Hidden = "{user-defined}"
- From: Hidden = "0"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
- From: RegisteredOrganization = "{Random}"
To: RegisteredOrganization = "{user-defined}"
- From: RegisteredOrganization = "{Random}"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
- From: RegisteredOwner = "{Random}"
To: RegisteredOwner = "{user-defined}"
- From: RegisteredOwner = "{Random}"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
- From: ProductId = "{Random}"
To: ProductId = "{user-defined}"
- From: ProductId = "{Random}"
- In HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0
- From: ProcessorNameString = "{Random}"
To: ProcessorNameString = "{user-defined}"
- From: ProcessorNameString = "{Random}"
手順 5
「VBS_SOLOW.A」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。
[AutoRun]
shellexecute=wscript.exe {Random}.dll.vbs
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「VBS_SOLOW.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください