• Email
• Facebook
• Twitter
• Google+
• Linkedin

Virus.X97M.LAROUX.A

---

• マルウェアタイプ: ファイル感染型ウイルス
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、ワーム活動の機能を備えていません。

ウイルスは、バックドア活動の機能を備えていません。

---

  詳細

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

ウイルスは、ワーム活動の機能を備えていません。

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

ルートキット機能

ウイルスは、ルートキット機能を備えていません。

その他

ウイルスは、以下を実行します。

• It will remain active every time Excel is launched, infecting any new workbooks created and previously saved workbooks when they are opened.
• It checks for a file named "PERSONAL.XLS" in the Excel startup path and if the currently active workbook contains any VBA modules.
  • If PERSONAL.XLS exists and the currently active workbook does not contain any VBA modules:
    • It copies a sheet named "laroux" from "PERSONAL.XLS" and paste it as the first sheet in the currently active Excel workbook.
    • It sets the copied sheet to hidden.
    • It assigns a macro from "PERSONAL.XLS" in the currently active Excel workbook for persistence
  • If PERSONAL.XLS doesn't exist and the currently active workbook contains any VBA modules:
    • It unhides a sheet named "laroux" in the currently active workbook
    • It copies the "laroux" sheet into a new workbook.
    • It sets the copied sheet to hidden.
    • It sets the following file attributes to null:
      • Title
      • Author
      • Subject
      • Keywords
      • Comments
    • It saves the new workbook as:
      • %Application Data%\Microsoft\Excel\XLSTART\PERSONAL.XLS
    • It assigns a macro from "PERSONAL.XLS" in the currently active Excel workbook for persistence

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ウイルスは、脆弱性を利用した感染活動を行いません。

<補足>
ウイルスは、以下を実行します。

• Excelが起動されるたびにアクティブを維持し、新たに作成されたワークブックまたは以前に保存されたワークブックが開いたときに感染します。
• Excelのスタートアップフォルダパス内に「PERSONAL.XLS」という名前のファイルが存在するかどうか、および、現在アクティブなワークブックにVBAモジュールが含まれているかどうかを確認します。
  • 「PERSONAL.XLS」が存在し、現在アクティブなワークブックにVBAモジュールが含まれていない場合：
    • 「PERSONAL.XLS」から「laroux」という名前のシートをコピーし、現在アクティブなワークブックの最初のシートとして貼り付けます。
    • コピーしたシートを隠しファイル属性（hidden）に設定します。
    • 現在アクティブなワークブックの「PERSONAL.XLS」からマクロを割り当てて自身の活動を持続化させます。
  • 「PERSONAL.XLS」が存在せず、現在アクティブなワークブックにVBAモジュールが含まれている場合：
    • 現在アクティブなワークブック内の「laroux」という名前のシートを再表示します。
    • 「laroux」シートを新しいワークブックにコピーします。
    • コピーしたシートを隠しファイル属性（hidden）に設定します。
    • 以下のファイル属性をnullに設定します。
      • Title
      • Author
      • Subject
      • Keywords
      • Comments
    • 新しいワークブックを以下のように保存します。
      • %Application Data%\Microsoft\Excel\XLSTART\PERSONAL.XLS
    • 現在アクティブなワークブック内の「PERSONAL.XLS」からマクロを割り当てて自身の活動を持続化させます。

  ---

    対応方法

  対応検索エンジン: 9.800

  初回 VSAPI パターンバージョン 18.696.03

  初回 VSAPI パターンリリース日 2023年9月14日

  VSAPI OPR パターンバージョン 18.697.00

  VSAPI OPR パターンリリース日 2023年9月15日

  手順 1

  Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

  手順 2

  このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

  手順 3

  以下のファイルを検索し削除します。

  [ 詳細 ]

  [ 戻る ]

  コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  

  • %Application Data%\Microsoft\Excel\XLSTART\PERSONAL.XLS

  マルウェアのコンポーネントファイルの削除：

• Windows 2000、XP および Server 2003 の場合：
  1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
  2. [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
      
     • %Application Data%\Microsoft\Excel\XLSTART\PERSONAL.XLS
  3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
  4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
     註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

• Windows Vista、7、Server 2008、8、8.1、10 および Server 2012 の場合：
  1. Windowsエクスプローラ画面を開きます。
     • Windows Vista、7 および Server 2008 の場合：
       • [スタート]-[コンピューター]を選択します。
     • Windows 8、8.1、10 および Server 2012 の場合：
       • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
  2. [コンピューターの検索]に、以下を入力します。
      
     • %Application Data%\Microsoft\Excel\XLSTART\PERSONAL.XLS
  3. ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
     註：Windows 7 および Server 2008 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。