WORM_FLYSTUD.AC
Windows 2000, XP, Server 2003
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
詳細
インストール
ワームは、以下のフォルダを追加します。
- %System%\{random name1}
- %System%\{random name2}
- %System%\{random name3}
- %System%\{random name4}
- %User Temp%\E_N4
(註:%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\<ユーザー名>\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\TEMP" です。)
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %System%\{random name1}\{random filename}.EXE
(註:%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
自動実行方法
ワームは、<User Startup>フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。
- %User Startup%\{Random file name}.lnk
(註: %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\<ユーザ名>\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup " です。)
他のシステム変更
ワームは、以下のレジストリキーを削除します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\TypedURLs
感染活動
ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
上記INFファイルには、以下の文字列が含まれています。
[AutoRun]
open=Recycle.exe
shell\1=´ò¿ª(&O)
shell\1\Command=Recycle.exe
shell\2\=ä¯ÀÀ(&B)
shell\2\Command=Recycle.exe
shellexecute=Recycle.exe
作成活動
ワームは、以下のファイルを作成します。
- %System%\{random name2}\cnvpe.fne
- %System%\{random name2}\dp1.fne
- %System%\{random name2}\eAPI.fne
- %System%\{random name2}\eCompress.fne
- %System%\{random name2}\HtmlView.fne
- %System%\{random name2}\internet.fne
- %System%\{random name2}\krnln.fnr
- %System%\{random name2}\RegEx.fnr
- %System%\{random name2}\shell.fne
- %System%\{random name2}\spec.fne
- %User Profile%\Start Menu\Programs\Startup\{random filename}.lnk
- %User Temp%\E_N4\cnvpe.fne
- %User Temp%\E_N4\dp1.fne
- %User Temp%\E_N4\eAPI.fne
- %User Temp%\E_N4\eCompress.fne
- %User Temp%\E_N4\HtmlView.fne
- %User Temp%\E_N4\internet.fne
- %User Temp%\E_N4\krnln.fnr
- %User Temp%\E_N4\RegEx.fnr
- %User Temp%\E_N4\shell.fne
- %User Temp%\E_N4\spec.fne
(註:%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>"、Windows NTでは、"C:\WINNT\Profiles\<ユーザ名>"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\<ユーザ名>" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\<ユーザー名>\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\TEMP" です。)
その他
このワームのコードから、ワームは、以下の機能を備えています。
- It also searches for folders in removable drives then drops copies of itself as {Folder name}.exe. It then sets the attribute of the original folder to Hidden to trick the users into thinking that the dropped copy is the legitimate folder.
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
以下のファイルを検索し削除します。
dp1.fne
eAPI.fne
eCompress.fne
HtmlView.fne
internet.fne
krnln.fnr
RegEx.fnr
shell.fne
spec.fne
%User Profile%\Start Menu\Programs\Startup\{random filename}.lnk
手順 3
以下のフォルダを検索し削除します。
手順 4
「WORM_FLYSTUD.AC」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。
open=Recycle.exe
shell\1=´ò¿ª(&O)
shell\1\Command=Recycle.exe
shell\2\=ä¯ÀÀ(&B)
shell\2\Command=Recycle.exe
shellexecute=Recycle.exe
手順 5
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_FLYSTUD.AC」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 6
以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア/グレイウェア/スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs
ご利用はいかがでしたか? アンケートにご協力ください