WORM_MORTO.DI
Worm:Win32/Morto.gen!B(Microsoft), a variant of Win32/Injector.NWB trojan(Eset)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ワームは、バックドア活動の機能を備えていません。
ワームは、情報収集する機能を備えていません。
ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。
詳細
侵入方法
ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
ワームは、以下のファイルを作成します。
- %Windows%\Offline Web pages\{Current Date} {Current Time}
- %Windows%\Offline Web pages\2.02_0401
- %Windows%\Offline Web pages\cache.txt
- %Windows%\clb.dll - detected as WORM_MORTO.DI
- %System%\Sens32.dll
(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)
ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。
- svchost.exe
他のシステム変更
ワームは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\WPA
it = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\WPA
id = "1293D1C15VAVUJTN"
HKEY_LOCAL_MACHINE\SYSTEM\WPA
ie = "%current folder%\{malware name}.exe"
HKEY_LOCAL_MACHINE\SYSTEM\WPA
md = "{garbage code}"
HKEY_LOCAL_MACHINE\SYSTEM\WPA
sn = "6to4"
HKEY_LOCAL_MACHINE\SYSTEM\WPA
sr = "Sens"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Windows
NoPopUpsOnBoot = "1"
バックドア活動
ワームは、バックドア活動の機能を備えていません。
プロセスの終了
ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- 360rp
- a-squared
- a2service
- ACAAS
- ArcaConfSV
- AvastSvc
- AVG_TRAY
- avguard
- avgwdsvc
- avpmapp
- BDAgent
- BitDefender Antiphishing Helper
- ccSvcHst
- cmdagent
- coreServiceShell
- F-Secure Manager
- F-Secure TNB
- FortiScand
- FPAVServer
- freshclam
- fsdfwd
- G Data AntiVirus Tray Application
- GDFwSvc
- IKARUS-GuardX
- K7RTScan
- knsdave
- KVSrvXP
- kxescore
- mcshield
- MPSvc
- MsMpEng
- NSESVC.EXE
- PavFnSvr
- RavMonD
- SavService
- scanwscs
- ShStatEXE
- Sophos AutoUpdate Monitor
- SpySweeper
- V3 Session Process
- Vba32Ldr
- vsserv
- zhudongfangyu
ダウンロード活動
ワームは、以下のWebサイトから自身のコピーの更新版ファイルをダウンロードします。
- {BLOCKED}1.{BLOCKED}q.co.cc
- {BLOCKED}1.{BLOCKED}q.com
情報漏えい
ワームは、情報収集する機能を備えていません。
その他
ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。
ワームが作成する以下のファイルはこのワームとして検出されます。
- %Windows%\clb.dll
ワームは、作成されたファイル " %Windows%\clb.dll" のバックアップコピーを以下のように作成します。
- %Windows%\clb.dll.bak
ファイル "%system%\clb.dll" は、"regedit.exe" によって利用される正規のファイルです。"%windows%" ディレクトリ内にワームのコピーが作成される理由は、このワームのコピーを"regedit.exe" が必要とするコンポーネントであるように装うためです。このため、コンピュータに不正な "clb.dll" が読み込まれます。
ワームはRCPのポートである3389/TCPポートを傍受し、リモートデスクトップを可能にします。
リモートで接続されると、ワームは、以下のリモートコマンドを利用してリモートコンピュータ内の一時ドライブ「A:」内のディレクトリに、"a.dll" として自身をコピーします。
- rundll32 \\tsclient\a\a.dll a
マルウェアは、ルートキット機能を備えていません。
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Windowsをセーフモードで再起動します。
手順 3
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\WPA
- it = "{hex values}"
- it = "{hex values}"
- In HKEY_LOCAL_MACHINE\SYSTEM\WPA
- id = "1293D1C15VAVUJTN"
- id = "1293D1C15VAVUJTN"
- In HKEY_LOCAL_MACHINE\SYSTEM\WPA
- ie = "%current folder%\{malware name}.exe"
- ie = "%current folder%\{malware name}.exe"
- In HKEY_LOCAL_MACHINE\SYSTEM\WPA
- md = "{garbage code}"
- md = "{garbage code}"
- In HKEY_LOCAL_MACHINE\SYSTEM\WPA
- sn = "6to4"
- sn = "6to4"
- In HKEY_LOCAL_MACHINE\SYSTEM\WPA
- sr = "Sens"
- sr = "Sens"
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Windows
- NoPopUpsOnBoot = "1"
- NoPopUpsOnBoot = "1"
手順 4
以下のファイルを検索し削除します。
- %Windows%\Offline Web pages\{Current Date} {Current Time}
- %Windows%\Offline Web pages\2.02_0401
- %Windows%\Offline Web pages\cache.txt
- %System%\Sens32.dll
手順 5
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「WORM_MORTO.DI」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください