WORM_RENOCIDE.XXPW 2016年8月5日
マルウェアタイプ: ワーム 破壊活動の有無: なし 暗号化: 感染報告の有無: はい ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ワームは、実行後、自身を削除します。
侵入方法
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)
他のシステム変更
ワームは、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\Software\Microsoft\
HKEY_LOCAL_MACHINE\Software\Microsoft\
ワームは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
作成活動
ワームは、以下のファイルを作成します。
%User Temp%\aut1.tmp %User Temp%\zodsfgw %User Temp%\aut7.tmp %User Temp%\jrtyawz (註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
その他
ワームは、以下の不正なWebサイトにアクセスします。
http://pgy.{BLOCKED}su.com:4800/po.php http://www.{BLOCKED}myip.com/automation/n09230945.asp {BLOCKED}.201.91 {BLOCKED}6.43.70 ワームは、実行後、自身を削除します。
このウイルス情報は、自動解析システムにより作成されました。
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは 、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効 にしてください。
手順 2
スタートアップディスク、または、回復コンソールを用いて、「WORM_RENOCIDE.XXPW」として検出されたファイルを確認し削除します。
[ 詳細 ]
[ 戻る ]
マルウェアのファイルの確認および削除：
• Windows XP および Server 2003 の場合：
最新のバージョン（エンジン、パターンファイル）を導入したセキュリティ対策製品を用いてウイルス検索を実行し、検出したマルウェアのパス名およびファイル名を確認し、メモ等をとってください。 [スタート]-[ファイル名を指定して実行]を選択し、"secpol.msc " と入力し、Enter を押します。 左側のパネルにある [ローカル ポリシー]-[セキュリティ オプション] をダブルクリックします。 右側のパネルにある [回復コンソール：すべてのドライブとフォルダに、フロッピーのコピーとアクセスを許可する] をダブルクリックします。 [有効] を選択し、[OK] をクリックします。 Windows のインストール CD を使用して、コンピュータを再起動します。 [セットアップへようこそ] 画面で、修復の R キーを押します。 キーボードを選択します。 修復する Windows がインストールされているドライブを選択します（通常は 1 を選択します）。 管理者のパスワードを入力し、Enter を押します。管理者パスワードがない場合は、何も入力せずにEnter を押します。 以下のコマンドを入力し、Enter を押します。 SET AllowAllPaths = TRUE del "＜上記で確認したマルウェアのパス名およびファイル名＞" コマンドプロンプトに exit と入力し、コンピュータを通常どおり再起動してください。 • Windows Vista、7 および Server 2008 の場合：
Windows のインストールDVDを使用して、コンピュータを再起動します。 インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。 [Windowsの起動に伴う問題の修復用の回復ツールを使用します。]を選択。インストールされたWindowsを選択し、[次へ]をクリックします。 [スタートアップ修復]ウィンドウが表示される場合、[キャンセル]－[はい]－[終了]をクリックします。 [詳細オプション]－[コマンドプロンプト]を選択。[コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。BootRec.exe /fixmbr 上記で検出されたすべてのファイルについてこの手順を繰り返します。 exit を入力し、Enterを押し、コマンドプロンプト画面を閉じます。[再起動]をクリックし、コンピュータを通常起動します。 • Windows 8、8.1 および Server 2012 の場合：
Windows のインストールDVDを使用して、コンピュータを再起動します。 インストールDVDによっては、インストール言語の選択が必要な場合があります。その場合、Windowsのインストールウィンドウで、言語、ロケール、キーボードレイアウトや入力方法を選択します。[次へ]-[コンピューターの修復]をクリックします。 [トラブルシューティング]－[詳細オプション]－[コマンドプロンプト]を選択。[コマンドプロンプト]ウィンドウで、以下を入力し、Enterを押します。BootRec.exe /fixmbr 上記で検出されたすべてのファイルについてこの手順を繰り返します。 exit を入力し、Enterを押し、コマンドプロンプト画面を閉じます。[再起動]をクリックし、コンピュータを通常起動します。 手順 3
不明なレジストリキーを削除します。
[ 詳細 ]
[ 戻る ]
警告： こちら をご参照ください。
In HKEY_LOCAL_MACHINE\Software\Microsoft\DRM In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\Explorer このマルウェアが追加したレジストリキーの削除 ：
「レジストリエディタ」を起動します。 Windows 2000、XP および Server 2003 の場合regedit と入力し、Enter を押します。 Windows Vista、7 および Server 2008 の場合：regedit と入力し、Enter を押します。 Windows 8、8.1 および Server 2012 の場合：regedit と入力し、Enter を押します。 ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。HKEY_LOCAL_MACHINE>Software>Microsoft>DRM 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。amty 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>policies>Explorer 上記フォルダの左にあるプラスをクリックし、以下のキーを検索し、削除します。Run 「レジストリエディタ」を閉じます。 手順 4
このレジストリ値を削除します。
[ 詳細 ]
[ 戻る ]
警告： こちら をご参照ください。
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run csrcs = "%System%\csrcs.exe" In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty exp1 = "{random characters}" In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty dreg = "{random characters}" このマルウェアが追加したレジストリ値の削除 ：
「レジストリエディタ」を起動します。 Windows 2000、XP および Server 2003 の場合：regedit と入力し、Enter を押します。 Windows Vista、7、Server 2008 の場合：regedit と入力し、Enter を押します。 Windows 8、8.1 および Server 2012 の場合：regedit と入力し、Enter を押します。 ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。 HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>DRM>amty 右側のパネルで以下のレジストリ値を検索し、削除します。ilop = "1" 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。 HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>policies>Explorer>Run 右側のパネルで以下のレジストリ値を検索し、削除します。csrcs = "%System%\csrcs.exe" 右側のパネルで以下のレジストリ値を検索し、削除します。fix1 = "1" 右側のパネルで以下のレジストリ値を検索し、削除します。exp1 = "{random characters}" 右側のパネルで以下のレジストリ値を検索し、削除します。dreg = "{random characters}" 「レジストリエディタ」を閉じます。 手順 5
変更されたレジストリ値を修正します。
[ 詳細 ]
[ 戻る ]
警告： こちら をご参照ください。
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon From: Shell = "Explorer.exe csrcs.exe" Shell = ""Explorer.exe"" このマルウェアが変更したレジストリ値の修正 ：
「レジストリエディタ」を起動します。 Windows 2000、XP および Server 2003 の場合：regedit と入力し、Enter を押します。 Windows Vista、7 および Server 2008 の場合：regedit と入力し、Enter を押します。 Windows 8、8.1 および Server 2012 の場合：regedit と入力し、Enter を押します。 regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。 レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon 右側のパネルで以下のレジストリ値を検索します。Shell = "Explorer.exe csrcs.exe" [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。Shell = "Explorer.exe" レジストリエディタを閉じます。 手順 6
以下のファイルを検索し削除します。
[ 詳細 ]
[ 戻る ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
%User Temp%\aut1.tmp %User Temp%\zodsfgw %User Temp%\aut7.tmp %User Temp%\jrtyawz マルウェアのコンポーネントファイルの削除：
Windows 2000、XP および Server 2003 の場合： [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。 [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。%User Temp%\aut1.tmp %User Temp%\zodsfgw %User Temp%\aut7.tmp %User Temp%\jrtyawz [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。註： ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）
Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合： Windowsエクスプローラ画面を開きます。 Windows Vista、7 および Server 2008 の場合： Windows 8、8.1 および Server 2012 の場合： 画面の左隅を右クリックし、[エクスプローラー]を選択します。 [コンピューターの検索]に、以下を入力します。%User Temp%\aut1.tmp %User Temp%\zodsfgw %User Temp%\aut7.tmp %User Temp%\jrtyawz ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。註： Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイト をご確認ください。 手順 7
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_RENOCIDE.XXPW」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください
