WORM_JORIK.MJSM

 危険度:

 ダメージ度:

 感染力:

 感染確認数:

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

  概要

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、実行後、自身を削除します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

  詳細

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random}.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、実行後、自身を削除します。

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• V8x
• muipcdraotse

ワームは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

ワームは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• port
• vbox
• vmsrvc
• vmware
• sandbox
• tcpview
• wireshark.exe
• regshot.exe
• procmon.exe
• filemon.exe
• procmon.exe
• regmon.exe
• procdump.exe
• cports.exe
• procexp.exe
• squid.exe
• dumpcap.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Intel Display Controler = "%System%\{random}.exe"

他のシステム変更

ワームは、インストールの過程で以下のレジストリ値を追加します。

HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
DisableNXShowUI = "%System%\{random}.exe"

感染活動

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

プロセスの終了

ワームは、感染コンピュータ上で確認した以下のサービスを終了します。

• SIScanner
• K7RTScan
• K7TSMngr
• DrWebEngine
• SPIDERNT
• DrWebCom
• avast! Antivirus
• avast! Firewall
• AntiVirService
• VSSERV
• avgfws
• avgwd
• avg8wd
• avg9wd
• NOD32krn
• ekrn
• mcmscsvc
• McShield
• MSK80Service
• McNASvc
• MpfService
• McODS
• MpfService
• McSysmon
• SmcService
• Symantec AntiVirus
• Norton Antivirus Server
• MBAMProtector
• MBAMService
• WebrootSpySweeperService
• WRConsumerService
• Amsp
• SAVService
• SAVAdminService
• Sophos AutoUpdate Service
• Sophos Client Firewall
• Sophos Client Firewall Manager
• OutpostFirewall
• TMBMServer
• TmPfw
• KPF4
• cmdAgent
• SbPF.Launcher
• SPF4
• acssrv

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• TEATIMER.EXE
• MRT.EXE
• MRTSTUB.EXE
• TCPVIEW.EXE
• HIJACKTHIS.EXE
• MSMPENG.EXE
• MSASCUI.EXE
• MPCMDRUN.EXE
• USBGUARD.EXE
• BILLY.EXE
• AADRIVE32.EXE

  対応方法

手順 6

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「WORM_JORIK.MJSM」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。