![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
WORM_KOLAB.RL
Windows 2000, XP, Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: ワーム
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
詳細
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %System Root%\RECYCLER\{SID}\MsMxEng.exe
(註:%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
ワームは、以下のファイルを作成します。
- %System Root%\RECYCLER\{SID}\Desktop.ini
- {drive letter}:\bar32\desktop.ini
(註:%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)
ワームは、以下の通常のプロセスにスレッドを組み込みます。
- Explorer.exe
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
Taskman = "%System Root%\RECYCLER\{SID}\MsMxEng.exe"
感染活動
ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。
- {drive letter}:\bar32\bar32.exe
ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
上記INFファイルには、以下の文字列が含まれています。
;{garbage}
[autorun
;{garbage}
open=bar/bar32.exe
;{garbage}
icon=SHELL32.dll,4
;{garbage}
acTIon=Open folder to view files using Windows Explorer
;{garbage}
shElL\oPEn\commaNd=bar\\\\\\\\\\\bar32.exe
;{garbage}
SheLl\\\\\\\\exPLore\\\\\\\\\comMand=bar/////////bar32.exe
;{garbage}
useautoplay=1
;{garbage}
ワームは、以下のインスタントメッセンジャ(IM)を用いて標的とする受信者に自身のコピーを送信します。
- MSN Messenger
作成活動
ワームは、作成したファイルの属性を以下のように設定します。
- Hidden
- Read Only
- System
その他
このワームのコードから、ワームは、以下の機能を備えています。
- Propagates through the following P2P applications:
- Kazaa
- BearShare
- iMesh
- Shareaza
- DC++
- Emule
- LimeWire
- Ares
- Performs denial of service (DoS) attacks on affected systems using SYN flooding
- Drops an AUTORUN.INF file detected as TROJ_OTORUN.RL
対応方法
手順 1
この「WORM_KOLAB.RL」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。
手順 2
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
- Taskman=%System Root%\RECYCLER\{SID}\MsMxEng.exe
- Taskman=%System Root%\RECYCLER\{SID}\MsMxEng.exe
手順 3
以下のフォルダを検索し削除します。
- %System Root%\RECYCLER\{SID}\
- {drive letter}:\bar32
手順 4
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「WORM_KOLAB.RL」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください