Trend Micro Security

WORM_AUTORUN.AE

2012年10月9日
 更新者 : Mark Joseph Manahan
 別名:

Worm:Win32/Autorun.GZ (Microsoft), W32/Bindo.worm (McAfee), W32.SillyFDC (Symantec), a variant of Win32/Malas worm a variant of Win32/Malas worm (Eset)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: ワーム
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 ワームは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のレジストリ値を変更し、ファイルの拡張子を非表示にします。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

  詳細

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、P2Pの共有フォルダを介してコンピュータに侵入します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

  • %User Startup%\ADOBE UPDATE.LNK
  • {drive letter}:\Autorun.inf
  • %Windows%\Tasks\At1.job
  • %Windows%\Tasks\At2.job

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %User Temp%\systray.exe
  • %User Profile%\APPLICATION DATA\usrinit.exe
  • %Program Files%\COMMON FILES\ADOBEUPDATE.EXE
  • %Program Files%\KAZAA LITE\MY SHARED FOLDER\SEX_SCREENSAVER.SCR
  • %Program Files%\KAZAA LITE\MY SHARED FOLDER\Sex_Game.exe
  • %Program Files%\Kazaa\MY SHARED FOLDER\SEX_SCREENSAVER.SCR
  • %Program Files%\Kazaa\MY SHARED FOLDER\Sex_Game.exe
  • %Program Files%\EDONKEY2000\incoming\SEX_SCREENSAVER.SCR
  • %Program Files%\EDONKEY2000\incoming\Sex_Game.exe
  • %Program Files%\emule\incoming\SEX_SCREENSAVER.SCR
  • %Program Files%\emule\incoming\Sex_Game.exe
  • %Program Files%\limewire\shared\SEX_SCREENSAVER.SCR
  • %Program Files%\limewire\shared\Sex_Game.exe
  • %Program Files%\XPCode\SexGame.exe
  • %Program Files%\XPCode\SEXSCREENSAVER.SCR
  • %Program Files%\XPCode\SEXGAMELIST.PIF
  • %User Profile%\Local Settings\startup.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。. %Program Files%は、標準設定では "C:\Program Files" です。)

ワームは、以下のフォルダを作成します。

  • %Program Files%\XPCode

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

ワームは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SoundMax = "%User Profile%\Local Settings\startup.exe"

他のシステム変更

ワームは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\LanmanServer\Shares
New_soft = "CSCFlags=0 MaxUses=5 Path=C:\Program Files\XPCode Permissions=0 Remark=NewSoftwares Type=0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaskHours = "48"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\SystemRestore
DisableConfig = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows NT\SystemRestore
DisableSR = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
Nofolderoptions = "1"

ワームは、以下のレジストリ値を変更し、ファイルの拡張子を非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "2"

(註：変更前の上記レジストリ値は、「"0"」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

  • {drive letter}:\autorun.exe

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

  • SexScreenSaver.exe
  • AdobeUpdate.exe
  • Sex_Game.exe
  • SEX_SCREENSAVER.SCR

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
action=Open Removable Drive
open=autorun.exe OPEN
icon=C:\windows\system32\shell32.dll,8
shell\open=Open
shell\open\Command=autorun.exe OPEN
shell\open\Default=1
shell\explore=Explore
shell\explore\Command=autorun.exe EXPLORE
shell\AutoPlay=AutoPlay
shell\AutoPlay\Command=autorun.exe OPEN

その他

ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "2"

(註：変更前の上記レジストリ値は、「"1"」となります。)

  対応方法

対応検索エンジン: 9.200
初回 VSAPI パターンバージョン 9.428.05
初回 VSAPI パターンリリース日 2012年9月28日
VSAPI OPR パターンバージョン 9.429.00
VSAPI OPR パターンリリース日 2012年9月29日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「WORM_AUTORUN.AE」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • SoundMax = "%User Profile%\Local Settings\startup.exe"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Shares
    • New_soft = "CSCFlags=0 MaxUses=5 Path=C:\Program Files\XPCode Permissions=0 Remark=NewSoftwares Type=0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
    • AtTaskMaskHours = "48"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
    • DisableConfig = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore
    • DisableSR = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
    • Nofolderoptions = "1"

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: HideFileExt = "2"
      To: HideFileExt = "0"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: Hidden = "2"
      To: Hidden = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    • From: ShowSuperHidden = "2"
      To: ShowSuperHidden = "1"

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Program Files%\XPCode

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Startup%\ADOBE UPDATE.LNK
  • {drive letter}:\New Folder.lnk
  • %Windows%\Tasks\At1.job
  • %Windows%\Tasks\At2.job

手順 7

「WORM_AUTORUN.AE」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。

[ 詳細 ]
  • [autorun]
  • action=Open Removable Drive
  • open=autorun.exe OPEN
  • icon=C:\windows\system32\shell32.dll,8
  • shell\open=Open
  • shell\open\Command=autorun.exe OPEN
  • shell\open\Default=1
  • shell\explore=Explore
  • shell\explore\Command=autorun.exe EXPLORE
  • shell\AutoPlay=AutoPlay
  • shell\AutoPlay\Command=autorun.exe OPEN

手順 8

最新のバージョン（エンジン、スパイウェアパターンファイル）を導入したウイルス対策製品を用い、スパイウェア検索を実行してください。「WORM_AUTORUN.AE」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下のファイルをバックアップを用いて修復します。マイクロソフト製品に関連したファイルのみに修復されます。このマルウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %User Profile%\Start Menu\Programs\Accessories\Command Prompt.lnk
  • %User Profile%\Start Menu\Programs\Accessories\Notepad.lnk


ご利用はいかがでしたか？　アンケートにご協力ください