WORM_NYXEM.GEN
Worm:Win32/Mywife.E@mm (Microsoft), Email-Worm.Win32.Nyxem.e, Email-Worm.Win32.Nyxem.e (Kaspersky), W32.Blackmal.E@mm (Symantec), W32/MyWife.e@MM (McAfee), W32/Nyxem-D (Sophos), Win32.Nyxem.E@mm (Fsecure), Email-Worm.Win32.Mywife.gen (Sunbelt), Worm/Nyxem.E (Antivir), Win32.Nyxem.E@mm (Bitdefender), Email-Worm.Win32.Nyxem.E (Ikarus),
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ワームは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。
ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。
詳細
侵入方法
ワームは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。
ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %System Root%\WINZIP_TMP.exe
- %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\WinZip Quick Pick.exe
- %Windows%\Rundll16.exe
- %Windows%\WINZIP_TMP.exe
- %System%\scanregw.exe
- %System%\Update.exe
- %System%\Winzip.exe
(註:%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
ワームは、以下のファイルを作成します。
- %System%\{malware name}.zip
- %System%\MSWINSCK.OCX
(註:%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)
ワームは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ScanRegistry = "scanregw.exe /scan"
他のシステム変更
ワームは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses
{default} = "Licensing: Copying the keys may be a violation of established copyrights."
ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
WebView = "0"
(註:変更前の上記レジストリ値は、「1」となります。)
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CabinetState
FullPath = "1"
(註:変更前の上記レジストリ値は、「0」となります。)
ワームは、インストールの過程で、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\096EFC40-6ABF-11cf-850C-08002B30345D
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\096EFC40-6ABF-11cf-850C-08002B30345D
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\190B7910-992A-11cf-8AFA-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\2c49f800-c2dd-11cf-9ad6-0080c7e7b78d
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\4250E830-6AC2-11cf-8ADB-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\4D553650-6ABE-11cf-8ADB-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\556C75F1-EFBC-11CF-B9F3-00A0247033C4
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\57CBF9E0-6AA7-11cf-8ADB-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\5f54e750-ce26-11cf-8e43-00a0c911005a
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\6FB38640-6AC7-11cf-8ADB-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\72E67120-5959-11cf-91F6-C2863C385E30
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\78E1BDD1-9941-11cf-9756-00AA00C00908
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\7C35CA30-D112-11cf-8E72-00A0C90F26F8
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\899B3E80-6AC6-11cf-8ADB-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\9E799BF1-8817-11cf-958F-0020AFC28C3B
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\B1EFCCF0-6AC1-11cf-8ADB-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\BC96F860-9928-11cf-8AFA-00AA00C00905
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\E32E2733-1BC5-11d0-B8C3-00A0C90DCA10
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Licenses\F4FC596D-DFFE-11CF-9551-00AA00A3DC45
ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"
(註:変更前の上記レジストリ値は、「1」となります。)
ファイル感染
ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。
その他
ワームは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}ts.web.rcn.net/cgi-bin/Count.cgi?df=765247
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Windowsをセーフモードで再起動します。
手順 3
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- ScanRegistry = "scanregw.exe /scan"
- ScanRegistry = "scanregw.exe /scan"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- {default} = "Licensing: Copying the keys may be a violation of established copyrights."
- {default} = "Licensing: Copying the keys may be a violation of established copyrights."
手順 4
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 096EFC40-6ABF-11cf-850C-08002B30345D
- 096EFC40-6ABF-11cf-850C-08002B30345D
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 096EFC40-6ABF-11cf-850C-08002B30345D
- 096EFC40-6ABF-11cf-850C-08002B30345D
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 190B7910-992A-11cf-8AFA-00AA00C00905
- 190B7910-992A-11cf-8AFA-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 2c49f800-c2dd-11cf-9ad6-0080c7e7b78d
- 2c49f800-c2dd-11cf-9ad6-0080c7e7b78d
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 4250E830-6AC2-11cf-8ADB-00AA00C00905
- 4250E830-6AC2-11cf-8ADB-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 4D553650-6ABE-11cf-8ADB-00AA00C00905
- 4D553650-6ABE-11cf-8ADB-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 556C75F1-EFBC-11CF-B9F3-00A0247033C4
- 556C75F1-EFBC-11CF-B9F3-00A0247033C4
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 57CBF9E0-6AA7-11cf-8ADB-00AA00C00905
- 57CBF9E0-6AA7-11cf-8ADB-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 5f54e750-ce26-11cf-8e43-00a0c911005a
- 5f54e750-ce26-11cf-8e43-00a0c911005a
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 6FB38640-6AC7-11cf-8ADB-00AA00C00905
- 6FB38640-6AC7-11cf-8ADB-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 72E67120-5959-11cf-91F6-C2863C385E30
- 72E67120-5959-11cf-91F6-C2863C385E30
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 78E1BDD1-9941-11cf-9756-00AA00C00908
- 78E1BDD1-9941-11cf-9756-00AA00C00908
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 7C35CA30-D112-11cf-8E72-00A0C90F26F8
- 7C35CA30-D112-11cf-8E72-00A0C90F26F8
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 899B3E80-6AC6-11cf-8ADB-00AA00C00905
- 899B3E80-6AC6-11cf-8ADB-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- 9E799BF1-8817-11cf-958F-0020AFC28C3B
- 9E799BF1-8817-11cf-958F-0020AFC28C3B
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- B1EFCCF0-6AC1-11cf-8ADB-00AA00C00905
- B1EFCCF0-6AC1-11cf-8ADB-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- BC96F860-9928-11cf-8AFA-00AA00C00905
- BC96F860-9928-11cf-8AFA-00AA00C00905
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- E32E2733-1BC5-11d0-B8C3-00A0C90DCA10
- E32E2733-1BC5-11d0-B8C3-00A0C90DCA10
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Licenses
- F4FC596D-DFFE-11CF-9551-00AA00A3DC45
- F4FC596D-DFFE-11CF-9551-00AA00A3DC45
手順 5
変更されたレジストリ値を修正します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: ShowSuperHidden = "0"
To: ShowSuperHidden = "1"
- From: ShowSuperHidden = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: WebView = "0"
To: WebView = "1"
- From: WebView = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState
- From: FullPath = "1"
To: FullPath = " 0 "
- From: FullPath = "1"
手順 6
以下のファイルを検索し削除します。
- %System%\{malware name}.zip
- %System%\MSWINSCK.OCX
手順 7
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「WORM_NYXEM.GEN」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください