WORM_AUTORUN.BWK

2013年12月19日

更新者 : Adrianne Chester Camat

別名:

Worm:Win32/Yuner.A (Microsoft); W32/YahLover.worm (McAfee); W32.Badday.A (Symantec); Worm.Win32.AutoIt.r (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Worm:W32/AutoIt.gen!A (FSecure)

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路リムーバブルドライブを介した感染活動

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

詳細

ファイルサイズ不定

タイプ EXE

メモリ常駐はい

発見日 2009年11月9日

ペイロードプロセスの強制終了

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%System%\{first random characters}.exe
%System%\{second random characters}.exe
%System%\{third random characters}.exe
%System%\{fourth random characters}.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{first random characters} = {first random characters}.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{second random characters} = {second random characters}.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{third random characters} = {third random characters}.exe

他のシステム変更

ワームは、以下のフォルダを削除します。

%Program Files%\Kaspersky Internet Security 6.0
%Program Files%\Kaspersky Anti-Virus 7.0
%Program Files%\Grisoft
%Program Files%\Avira
%Program Files%\Alwil Software
%Program Files%\Accessories\System Tools
%Program Files%\Accessories\Paint

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Classes\
CLV.Classes
Com1 = "{firs random characters}"

HKEY_LOCAL_MACHINE\Software\Classes\
CLV.Classes
Com2 = "{second random characters}"

HKEY_LOCAL_MACHINE\Software\Classes\
CLV.Classes
Com3 = "{third random characters}"

HKEY_LOCAL_MACHINE\Software\Classes\
CLV.Classes
Com4 = "{fourth random characters}"

HKEY_LOCAL_MACHINE\Software\Classes\
CLV.Classes
StartCom1 = "{first random character}"

HKEY_LOCAL_MACHINE\Software\Classes\
CLV.Classes
StartCom2 = "{second random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
ShowAll
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "145"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
SFCDisable = "-99"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\ComputerName\ComputerName
ComputerName = "VirusBenci"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters
Hostname = "VirusBenci"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters
NV Hostname = "VirusBenci"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
FirstRunDisabled = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

HKEY_CLASSES_ROOT\Software\Classes\
CLV.Classes
Com1 = "{first random characters}"

HKEY_CLASSES_ROOT\Software\Classes\
CLV.Classes
Com2 = "{second random characters}"

HKEY_CLASSES_ROOT\Software\Classes\
CLV.Classes
Com3 = "{third random characters}"

HKEY_CLASSES_ROOT\Software\Classes\
CLV.Classes
Com4 = "{fourth random characters}"

HKEY_CLASSES_ROOT\Software\Classes\
CLV.Classes
StartCom1 = "{first random characters}"

HKEY_CLASSES_ROOT\Software\Classes\
CLV.Classes
StartCom2 = "{second random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\System
DisableCMD = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
SFCScan = "0"

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "91"

(註：変更前の上記レジストリ値は、「91」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
SFCDisable = "ffffff9d"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\ComputerName\ComputerName
ComputerName = "VirusBenci"

(註：変更前の上記レジストリ値は、「USER00-A898EA5B」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters
Hostname = "VirusBenci"

(註：変更前の上記レジストリ値は、「user00-a898ea5b」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters
NV Hostname = "VirusBenci"

(註：変更前の上記レジストリ値は、「user00-a898ea5b」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirstRunDisabled = "1"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

HKEY_CLASSES_ROOT\.bat
{default value} = "txtfile"

(註：変更前の上記レジストリ値は、「batfile」となります。)

HKEY_CLASSES_ROOT\.wsh
{default value} = "txtfile"

(註：変更前の上記レジストリ値は、「WSHFile」となります。)

HKEY_CLASSES_ROOT\.wsc
{default value} = "txtfile"

(註：変更前の上記レジストリ値は、「WSCFile」となります。)

HKEY_CLASSES_ROOT\.wsf
{default value} = "txtfile"

(註：変更前の上記レジストリ値は、「WSFFile」となります。)

HKEY_CLASSES_ROOT\.reg
{default value} = "txtfile"

(註：変更前の上記レジストリ値は、「regfile」となります。)

HKEY_CLASSES_ROOT\.vbs
{default value} = "txtfile"

(註：変更前の上記レジストリ値は、「VBSFile」となります。)

ワームは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

ワームは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AVP =

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\HideFileExt

感染活動

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

avp.exe
avgcc.exe
avgnt.exe
ashDisp.exe
cmd.exe

作成活動

ワームは、以下のファイルを作成します。

%System%\pckhar.exe
a:\Word.exe
%User Profile%\Templates\winword.doc.exe
%User Profile%\Templates\winword2.doc.exe
%System%\config\systemprofile\Templates\winword.doc.exe
%System%\config\systemprofile\Templates\winword2.doc.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

その他

ワームは、タイトルバーに以下の文字列を含むアプリケーションのウィンドウを閉じます。

Kaspersky
Anti
terminate
quarantine
protected
spy
bitdefender
nod32
print
Hex
Hack
agree
guard
khar
firewall
system
policy
paint
antivirus
scan
update
clean
autorun
emergency
print
removal
tuneup
suspend
zonealarm
Symantec
McAfee
remove
Norton
Avast
Panda
Run
system
Virus
install
process
setup
hijack
search
kill
Task

対応方法

対応検索エンジン: 9.200

初回 VSAPI パターンバージョン 6.616.02

初回 VSAPI パターンリリース日 2009年11月10日

VSAPI OPR パターンバージョン 6.617.00

VSAPI OPR パターンリリース日 2009年11月10日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CLASSES_ROOT\.bat
- From: @ = "txtfile"
  To: @ = batfile
In HKEY_CLASSES_ROOT\.reg
- From: @ = "txtfile"
  To: @ = regfile
In HKEY_CLASSES_ROOT\.vbs
- From: @ = "txtfile"
  To: @ = VBSFile
In HKEY_CLASSES_ROOT\.wsc
- From: @ = "txtfile"
  To: @ = scriptletfile
In HKEY_CLASSES_ROOT\.WSF
- From: @ = "txtfile"
  To: @ = WSFFile
In HKEY_CLASSES_ROOT\.WSH
- From: @ = "txtfile"
  To: @ = WSHFile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bat
- From: @ = "txtfile"
  To: @ = batfile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.reg
- From: @ = "txtfile"
  To: @ = regfile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.vbs
- From: @ = "txtfile"
  To: @ = VBSFile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.wsc
- From: @ = "txtfile"
  To: @ = scriptletfile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.WSF
- From: @ = "txtfile"
  To: @ = WSFFile
In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.WSH
- From: @ = "txtfile"
  To: @ = WSHFile
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: SFCDisable = "ffffff9d"
  To: SFCDisable = 00000000
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ComputerName\ComputerName
- From: ComputerName = "VirusBenci"
  To: ComputerName = {Preferred computername}

変更されたレジストリ値の修正：

「レジストリエディタ」を起動します。
» Windows 2000 および Windows XP、Windows Server 2003の場合、[スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>.bat
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = batfile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>.reg
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = regfile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>.vbs
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = VBSFile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>.wsc
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = scriptletfile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>.WSF
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = WSFFile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>.WSH
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = WSHFile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.bat
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = batfile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.reg
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = regfile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.vbs
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = VBSFile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.wsc
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = scriptletfile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.WSF
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = WSFFile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Classes>.WSH
右側のパネルで以下のレジストリ値を検索します。
@ = "txtfile"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
@ = WSHFile
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
右側のパネルで以下のレジストリ値を検索します。
SFCDisable = "ffffff9d"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
SFCDisable = 00000000
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Control>ComputerName>ComputerName
右側のパネルで以下のレジストリ値を検索します。
ComputerName = "VirusBenci"
[値の名前]上で右クリックし、[修正]または[変更]を選択します。 [文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
ComputerName = {Preferred computername}
レジストリエディタを閉じます。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- NoDriveTypeAutoRun = 145
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- SFCDisable = -99
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters
- Hostname = VirusBenci
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters
- NV Hostname = VirusBenci
In HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center
- AntiVirusDisableNotify = 1
In HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center
- FirewallDisableNotify = 1
In HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center
- UpdatesDisableNotify = 1
In HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center
- FirstRunDisabled = 1
In HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center
- AntiVirusOverride = 1
In HKEY_LOCAL_MACHINE\Software\Microsoft\Security Center
- FirewallOverride = 1
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {first random characters} = {first random characters}.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {second random characters} = {second random characters}.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {third random characters} = {third random characters}.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- SFCScan = 0
In HKEY_LOCAL_MACHINE\Software\Classes\CLV.Classes
- Com1 = {first random characters}
In HKEY_LOCAL_MACHINE\Software\Classes\CLV.Classes
- Com2 = {second random characters}
In HKEY_LOCAL_MACHINE\Software\Classes\CLV.Classes
- Com3 = {third random characters}
In HKEY_LOCAL_MACHINE\Software\Classes\CLV.Classes
- Com4 = {fourth random characters}
In HKEY_LOCAL_MACHINE\Software\Classes\CLV.Classes
- StartCom1 = {first random character}
In HKEY_LOCAL_MACHINE\Software\Classes\CLV.Classes
- StartCom2 = {second random characters}
In HKEY_CLASSES_ROOT\Software\Classes\CLV.Classes
- Com1 = {first random characters}
In HKEY_CLASSES_ROOT\Software\Classes\CLV.Classes
- Com2 = {second random characters}
In HKEY_CLASSES_ROOT\Software\Classes\CLV.Classes
- Com3 = {third random characters}
In HKEY_CLASSES_ROOT\Software\Classes\CLV.Classes
- Com4 = {fourth random characters}
In HKEY_CLASSES_ROOT\Software\Classes\CLV.Classes
- StartCom1 = {first random characters}
In HKEY_CLASSES_ROOT\Software\Classes\CLV.Classes
- StartCom2 = {second random characters}

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
※"regedit" は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Policies>Explorer
右側のパネルで以下のレジストリ値を検索し、削除します。
NoDriveTypeAutoRun = 145
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
右側のパネルで以下のレジストリ値を検索し、削除します。
SFCDisable = -99
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SYSTEM>ControlSet001>Services>Tcpip>Parameters
右側のパネルで以下のレジストリ値を検索し、削除します。
Hostname = VirusBenci
右側のパネルで以下のレジストリ値を検索し、削除します。
NV Hostname = VirusBenci
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>Software>Microsoft>Security Center
右側のパネルで以下のレジストリ値を検索し、削除します。
AntiVirusDisableNotify = 1
右側のパネルで以下のレジストリ値を検索し、削除します。
FirewallDisableNotify = 1
右側のパネルで以下のレジストリ値を検索し、削除します。
UpdatesDisableNotify = 1
右側のパネルで以下のレジストリ値を検索し、削除します。
FirstRunDisabled = 1
右側のパネルで以下のレジストリ値を検索し、削除します。
AntiVirusOverride = 1
右側のパネルで以下のレジストリ値を検索し、削除します。
FirewallOverride = 1
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
右側のパネルで以下のレジストリ値を検索し、削除します。
{first random characters} = {first random characters}.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
{second random characters} = {second random characters}.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
{third random characters} = {third random characters}.exe
右側のパネルで以下のレジストリ値を検索し、削除します。
SFCScan = 0
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>Software>Classes>CLV.Classes
右側のパネルで以下のレジストリ値を検索し、削除します。
Com1 = {first random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
Com2 = {second random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
Com3 = {third random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
Com4 = {fourth random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
StartCom1 = {first random character}
右側のパネルで以下のレジストリ値を検索し、削除します。
StartCom2 = {second random characters}
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>Software>Classes>CLV.Classes
右側のパネルで以下のレジストリ値を検索し、削除します。
Com1 = {first random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
Com2 = {second random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
Com3 = {third random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
Com4 = {fourth random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
StartCom1 = {first random characters}
右側のパネルで以下のレジストリ値を検索し、削除します。
StartCom2 = {second random characters}
「レジストリエディタ」を閉じます。

手順 4

WORM_AUTORUN.BWK として検出されたファイルを検索し削除します。

註：このファイルは、隠しファイルとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

特定のファイルが起動した際、マルウェアの自動起動実行の停止：

Windows 2000、XP および Server 2003 の場合：

[スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
[ファイル名のすべてまたは一部]に上記で確認したファイル名を入力してください。
[探す場所]の一覧から[マイコンピュータ]を選択し、Enter を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。

Windows Vista および 7 の場合：

[スタート]をクリックします。
[プログラムとファイルの検索]に、上記で確認したファイル名を入力し、Enter を押します。
検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_AUTORUN.BWK」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください