• Email
• Facebook
• Twitter
• Google+
• Linkedin

Virus.X97M.SLACKER.L

---

• マルウェアタイプ: ファイル感染型ウイルス
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、バックドア活動の機能を備えていません。

ウイルスは、情報収集する機能を備えていません。

---

  詳細

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

ルートキット機能

ウイルスは、ルートキット機能を備えていません。

情報漏えい

ウイルスは、情報収集する機能を備えていません。

その他

ウイルスは、以下を実行します。

• If the user opens an uninfected workbook or switches to another workbook (whose ThisWorkbook code doesn't start with 'OOO):
  • It injects the full malicious VBA code into the target workbook’s ThisWorkbook module.
  • The infection propagates to every uninfected workbook the user opens next.
• It drops the following malicious file in Excel’s Startup folder to maintain persistence:
  • Filename: %Application Data%\Microsoft\Excel\XLSTART\book1
  • Contents: A workbook containing the malicious macro code
  • Trigger: Dropped when the user switches away from an infected workbook
  • Effect: Auto-opens silently whenever Excel launches, enabling further spread
• It creates the following hidden backup of each infected workbook:
  • C:\TMP\{Original Filename}.xlsm
• On opening, if the infected workbook contains a "Controls" sheet:
  • It activates that sheet and scrolls to the "DashboardScenario" named range (if it exists).
  • If not, it defaults to the first visible worksheet.

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ウイルスは、脆弱性を利用した感染活動を行いません。

<補足>

ウイルスは、以下を実行します。

• ユーザが感染していないワークブックを開封したり、別のワークブック（ThisWorkbookコードが'OOOで始まっていない） に切り替えたりした場合：
  • ウイルスは、不正なVBA コード全体を対象のワークブックのThisWorkbookモジュール内に埋め込みます。
  • 感染活動は、同ウイルスに感染していないワークブックをユーザが開封した場合に実行され、拡散します。
• 自身の不正活動の永続化を維持するために、Excelのスタートアップフォルダ内に以下の不正ファイルを作成します。
  • ファイル名：%Application Data%\Microsoft\Excel\XLSTART\book1
  • コンテンツ：不正マクロコードを含むワークブック
  • トリガ：ユーザが同ウイルスに感染したワークブックから別のワークブックに切り替えたときに作成されます。
  • 影響：Excel を起動する度に自動的に開封されるため、同ウイルスがさらに拡散する可能性があります。
• 同ウイルスに感染したワークブックごとに以下の隠しファイル（バックアップ）を作成します。
  • C:\TMP\{元のファイル名}.xlsm
• 開封時に、感染したワークブックに「Controls」シートが含まれている場合：
  • 「Controls」シートをアクティブ化し、「DashboardScenario」という名前の範囲 （存在する場合）までスクロールします。
  • そうでない場合は、最初に表示されるワークシートをデフォルト設定します。

    ---

      対応方法

    対応検索エンジン: 9.800

    初回 VSAPI パターンバージョン 20.200.08

    初回 VSAPI パターンリリース日 2025年5月13日

    VSAPI OPR パターンバージョン 20.201.00

    VSAPI OPR パターンリリース日 2025年5月14日

    手順 1

    Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

    手順 2

    このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

    手順 3

    以下のファイルを検索し削除します。

    [ 詳細 ]

    [ 戻る ]

    コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  

    • %Application Data%\Microsoft\Excel\XLSTART\book1

    マルウェアのコンポーネントファイルの削除：

  • Windows 2000、XP および Server 2003 の場合：
    1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
    2. [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
        
       • %Application Data%\Microsoft\Excel\XLSTART\book1
    3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
    4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
       註：ファイル名の入力欄のタイトルは、Windowsのバージョンによって異なります。（例：ファイルやフォルダ名の検索の場合やファイル名のすべてまたは一部での検索）

  • Windows Vista、7、Server 2008、8、8.1、10 および Server 2012 の場合：
    1. Windowsエクスプローラ画面を開きます。
       • Windows Vista、7 および Server 2008 の場合：
         • [スタート]-[コンピューター]を選択します。
       • Windows 8、8.1、10 および Server 2012 の場合：
         • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
    2. [コンピューターの検索]に、以下を入力します。
        
       • %Application Data%\Microsoft\Excel\XLSTART\book1
    3. ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
       註：Windows 7 および Server 2008 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。