WORM_TDSS.TX
Windows 2000, Windows XP, Windows Server 2003
マルウェアタイプ:
Worm
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、ダメージ度や感染力、あるいは、その両方の脅威レベルの高まりが挙げられます。特に、このマルウェアは、その複雑な構造により、自身の活動を展開することが可能です。
マルウェアは、ドライブバイダウンロードによりコンピュータに侵入します。
マルウェアは、実行されると、以下の脆弱性を利用したゼロデイ攻撃を実行します。
また、マルウェアは、Internet Explorer(IE)のセキュリティ設定レベルを下げます。これにより、マルウェアは、不正なコードの含まれるWebサイトにアクセスすることが可能になり、コンピュータがさらなる危険にさらされることになります。
マルウェアは、ネットワーク共有フォルダに自身のコピーを作成することにより感染活動を行います。
マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
マルウェアは、実行後、自身を削除します。
マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。
詳細
侵入方法
マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
インストール
マルウェアは、実行後、自身を削除します。
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\international
acceptlanguage = en-us
HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\Main\
featurecontrol\FEATURE_BROWSER_EMULATION
svchost.exe = 8888
HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
maxhttpredirects = 8888
HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
enablehttp1_1 = 1
マルウェアは、以下のレジストリ値を変更します。
HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
CurrentLevel = 0
(註：変更前の上記レジストリ値は、「69632」となります。)
HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = 0
(註：変更前の上記レジストリ値は、「1」となります。)
感染活動
マルウェアは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。
- setup{random number}.dll
- setup{random number}.dat
This worm drops the following component in shared networks:
- setup{random number}.lnk - detected as EXPL_CPLNK.SMA
マルウェアは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。
Webブラウザのホームページおよび検索ページの変更
マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。
その他
マルウェアは、以下の脆弱性を利用してゼロデイ攻撃を実行します。
- Windows Task Scheduler Privilege Escalation
セキュリティ対策の面からも以下の説明を参照し、脆弱性を修正してください。
マルウェアは、"%User Temp%\{random file name}.TMP" というファイル名の自身のコピーを作成します。
また、マルウェアは、自身のファイルの特性をDLLファイルの特性に変更します。
（註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000 の場合、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Temp"、Windows XP、Server 2003、Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。）
対応方法
手順 1
Windows ME および XPユーザは、パソコンから不正プログラムもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Windowsの検索機能（[スタート] → [検索] → [ファイルとフォルダすべて] を選択）などを使用して、この「WORM_TDSS.TX」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。
手順 3
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「WORM_TDSS.TX」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
「WORM_TDSS.TX」として検出されたファイルを検索し削除します。
手順 6
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\international
- acceptlanguage = en-us
- In HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\featurecontrol\FEATURE_BROWSER_EMULATION
- svchost.exe = 8888
- In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- maxhttpredirects = 8888
- In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- enablehttp1_1 = 1
手順 7
変更されたレジストリ値を修正します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- From: CurrentLevel = 0
To: CurrentLevel = 69632
- From: CurrentLevel = 0
- In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- From: 1601 = 0
To: 1601 = 1
- From: 1601 = 0
手順 8
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「WORM_TDSS.TX」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。ただし、念のため、隔離されたファイルを削除してください。詳しくは、こちらをご確認下さい。
手順 9
以下の修正パッチをダウンロードし適用します。この脆弱性に対する修正パッチが適用されるまで、該当製品の使用をお控えください。この製品の製造元から正式な修正パッチが公開され次第、ダウンロードし適用することをお勧めします。
ご利用はいかがでしたか？ アンケートにご協力ください