WORM_MOONLIGH.AH
Worm:Win32/Lightmoon.H (Microsoft); W32/MoonLight.worm (McAfee); W32.Rontokbro@mm (Symantec); Worm.Win32.Moonlight.gen (v) (Sunbelt)
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。
詳細
侵入方法
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %User Profile%\O71710Z\service.exe
(註:%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>"、Windows NTでは、"C:\WINNT\Profiles\<ユーザ名>"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\<ユーザ名>" です。)
ワームは、以下のフォルダを作成します。
- %Windows%\M25053
- %User Profile%\Templates\O71710Z
- %System%\X57785go
(註:%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\<ユーザ名>"、Windows NTでは、"C:\WINNT\Profiles\<ユーザ名>"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\<ユーザ名>" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
T1TT4 = "\l.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
T = "\sa-.exe"
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe, \Tux.exe"
(註:変更前の上記レジストリ値は、「Explorer.exe」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "\userinit.exe , \JabLay.com"
(註:変更前の上記レジストリ値は、「%Windows%\system32\userinit.exe,」となります。)
他のシステム変更
ワームは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
untukmu\version
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\Path
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\biang
ワームは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
untukmu\version
me = "4"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe
debugger = "\notepad.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe
debugger = "\notepad.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\Path
1 = "M25053"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\Path
2 = "O71710Z"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\Path
3 = "X57785go"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\biang
1 = "9927a"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\biang
2 = "184c"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\biang
3 = "c454d"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\biang
4 = "3536"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
TUX\biang
5 = "36d24"
ワームは、以下のレジストリ値を変更します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CabinetState
FullPath = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"
(註:変更前の上記レジストリ値は、「1」となります。)
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"
(註:変更前の上記レジストリ値は、「2」となります。)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess
Start = "0"
(註:変更前の上記レジストリ値は、「2」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
Common Startup = "0"
(註:変更前の上記レジストリ値は、「{random values}」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
UncheckedValue = "0"
(註:変更前の上記レジストリ値は、「1」となります。)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot
AlternateShell = "l.exe"
(註:変更前の上記レジストリ値は、「cmd.exe」となります。)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\
Control\SafeBoot
AlternateShell = "l.exe"
(註:変更前の上記レジストリ値は、「cmd.exe」となります。)
ワームは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"
作成活動
ワームは、以下のファイルを作成します。
- \msvbvm60.dll
- %System%\msvbvm60.dll
- %User Profile%\O71710Z\winlogon.exe
- %Windows%\M25053\EmangEloh.exe
- %Windows%\M25053\smss.exe
- %System%\X57785go\Z627322cie.cmd
- %Windows%\sa-006220.exe
- %Windows%\Ti804173ta.exe
- %Windows%\M25053\Ja013622bLay.com
- %System%\627322804173l.exe
- %User Startup%\sql.cmd
- %User Profile%\O71710Z\TuxO71710Z.exe
このウイルス情報は、自動解析システムにより作成されました。
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
スタートアップディスク、または、回復コンソールを用いて、「WORM_MOONLIGH.AH」として検出されたファイルを確認し削除します。
手順 3
レジストリエディタおよびタスクマネージャ、フォルダオプションの機能を有効にします。
手順 4
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\VB and VBA Program Settings\untukmu
- version
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies
- System
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
- msconfig.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
- regedit.exe
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX
- Path
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX
- biang
手順 5
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- T1TT4 = "\l.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- T = "\sa-.exe"
- In HKEY_CURRENT_USER\Software\VB and VBA Program Settings\untukmu\version
- me = "4"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- ShowSuperHidden = "0"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
- debugger = "\notepad.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
- debugger = "\notepad.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\Path
- 1 = "M25053"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\Path
- 2 = "O71710Z"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\Path
- 3 = "X57785go"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\biang
- 1 = "9927a"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\biang
- 2 = "184c"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\biang
- 3 = "c454d"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\biang
- 4 = "3536"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TUX\biang
- 5 = "36d24"
手順 6
変更されたレジストリ値を修正します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState
- FullPath = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: HideFileExt = "1"
To: HideFileExt = ""1""
- From: HideFileExt = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: Hidden = "0"
To: Hidden = ""2""
- From: Hidden = "0"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess
- From: Start = "0"
To: Start = ""2""
- From: Start = "0"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
- From: Common Startup = "0"
To: Common Startup = ""{random values}""
- From: Common Startup = "0"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden
- From: UncheckedValue = "0"
To: UncheckedValue = ""1""
- From: UncheckedValue = "0"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
- From: AlternateShell = "l.exe"
To: AlternateShell = ""cmd.exe""
- From: AlternateShell = "l.exe"
- In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SafeBoot
- From: AlternateShell = "l.exe"
To: AlternateShell = ""cmd.exe""
- From: AlternateShell = "l.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Shell = "explorer.exe, \Tux.exe"
To: Shell = ""Explorer.exe""
- From: Shell = "explorer.exe, \Tux.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Userinit = "\userinit.exe , \JabLay.com"
To: Userinit = ""%Windows%\system32\userinit.exe,""
- From: Userinit = "\userinit.exe , \JabLay.com"
手順 7
以下のファイルを検索し削除します。
- \msvbvm60.dll
- %System%\msvbvm60.dll
- %User Profile%\O71710Z\winlogon.exe
- %Windows%\M25053\EmangEloh.exe
- %Windows%\M25053\smss.exe
- %System%\X57785go\Z627322cie.cmd
- %Windows%\sa-006220.exe
- %Windows%\Ti804173ta.exe
- %Windows%\M25053\Ja013622bLay.com
- %System%\627322804173l.exe
- %User Startup%\sql.cmd
- %User Profile%\O71710Z\TuxO71710Z.exe
手順 8
以下のフォルダを検索し削除します。
- %Windows%\M25053
- %User Profile%\Templates\O71710Z
- %System%\X57785go
手順 9
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_MOONLIGH.AH」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください