Trend Micro Security

WORM_AUTORUN.HUU

2013年6月25日
 更新者 : Nikko Tamana
 別名:

W32/AutoRun.AQCP!worm (Fortinet), W32/Heuristic-210!Eldorado (FProt), Win32.SuspectCrc (Ikarus), Worm:Win32/Chiviper.C (Microsoft), a variant of Win32/AutoRun.Agent.JB worm (NOD32)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: ワーム
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

ワームは、ユーザが特定のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

  詳細

ファイルサイズ 26,113 bytes
タイプ EXE
メモリ常駐 はい
発見日 2012年10月17日

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

  • %Windows%\programs\desktop.ini
  • %Windows%\programs\fuckme.vbs
  • %Windows%\programs\wsock32.dll
  • %Windows%\Tasks\°²×°.bat - used to delete the initially executed copy
  • %System Root%\sks.vbs

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Windows%\programs\ini.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

ワームは、以下のフォルダを作成します。

  • %Windows%\programs

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
stubpath = "%windir%\programs\fuckme.vbs"

他のシステム変更

ワームは、以下のファイルを削除します。

  • %Windows%\Help\access.chm
  • %Windows%\Help\access.hlp
  • %Windows%\Help\accessib.chm
  • %Windows%\Help\acc_dis.chm
  • %Windows%\Help\aclui.chm
  • %Windows%\Help\aclui.hlp
  • %Windows%\Help\addremov.chm
  • %Windows%\Help\ade.hlp
  • %Windows%\Help\admtools.chm
  • %Windows%\Help\adprop.hlp
  • %Windows%\Help\agt0405.hlp
  • %Windows%\Help\agt0406.hlp
  • %Windows%\Help\agt0407.hlp
  • %Windows%\Help\agt0408.hlp
  • %Windows%\Help\agt0409.hlp
  • %Windows%\Help\agt040b.hlp
  • %Windows%\Help\agt040c.hlp
  • %Windows%\Help\agt040e.hlp
  • %Windows%\Help\agt0410.hlp
  • %Windows%\Help\agt0413.hlp
  • %Windows%\Help\agt0414.hlp
  • %Windows%\Help\agt0415.hlp
  • %Windows%\Help\agt0416.hlp
  • %Windows%\Help\agt0419.hlp
  • %Windows%\Help\agt041d.hlp
  • %Windows%\Help\agt041f.hlp
  • %Windows%\Help\agt0816.hlp
  • %Windows%\Help\agt0c0a.hlp
  • %Windows%\Help\apps.chm
  • %Windows%\Help\apps_sp.chm
  • %Windows%\Help\article.chm
  • %Windows%\Help\atm.chm
  • %Windows%\Help\audiocdc.hlp
  • %Windows%\Help\audit.chm
  • %Windows%\Help\bckg.chm
  • %Windows%\Help\blurbs.chm
  • %Windows%\Help\blutooth.chm
  • %Windows%\Help\bnts.dll
  • %Windows%\Help\bootcons.chm
  • %Windows%\Help\brief.chm
  • %Windows%\Help\calc.chm
  • %Windows%\Help\calc.hlp
  • %Windows%\Help\camera.chm
  • %Windows%\Help\camera.hlp
  • %Windows%\Help\cdmedia.chm
  • %Windows%\Help\cdmedia.hlp
  • %Windows%\Help\certmgr.chm
  • %Windows%\Help\certmgr.hlp
  • %Windows%\Help\charmap.chm
  • %Windows%\Help\charmap.hlp
  • %Windows%\Help\chkr.chm
  • %Windows%\Help\chnscsvr.hlp
  • %Windows%\Help\chooser.hlp
  • %Windows%\Help\ciadmin.htm
  • %Windows%\Help\ciquery.htm
  • %Windows%\Help\clipbrd.chm
  • %Windows%\Help\clipbrd.hlp
  • %Windows%\Help\cmconcepts.chm
  • %Windows%\Help\colormgt.chm
  • %Windows%\Help\comexp.chm
  • %Windows%\Help\comexp.hlp
  • %Windows%\Help\common.chm
  • %Windows%\Help\compfldr.chm
  • %Windows%\Help\compmgmt.chm
  • %Windows%\Help\compstui.hlp
  • %Windows%\Help\conf.chm
  • %Windows%\Help\conf.cnt
  • %Windows%\Help\conf.hlp
  • %Windows%\Help\conf1.chm
  • %Windows%\Help\connect.cnt
  • %Windows%\Help\connect.hlp
  • %Windows%\Help\cpanel.chm
  • %Windows%\Help\cpanel.chq
  • %Windows%\Help\cscui.hlp
  • %Windows%\Help\cyycoins.chm
  • %Windows%\Help\cyzcoins.chm
  • %Windows%\Help\datetime.chm
  • %Windows%\Help\ddeshare.chm
  • %Windows%\Help\ddeshare.hlp
  • %Windows%\Help\defrag.chm
  • %Windows%\Help\defrag.hlp
  • %Windows%\Help\devmgr.chm
  • %Windows%\Help\devmgr.hlp
  • %Windows%\Help\dfs.hlp
  • %Windows%\Help\diagboot.chm
  • %Windows%\Help\dialer.chm
  • %Windows%\Help\dialer.hlp
  • %Windows%\Help\digiras.chm
  • %Windows%\Help\dijoy.hlp
  • %Windows%\Help\diskmgmt.chm
  • %Windows%\Help\diskmgmt.hlp
  • %Windows%\Help\display.chm
  • %Windows%\Help\display.hlp
  • %Windows%\Help\dkconcepts.chm
  • %Windows%\Help\drvvfp.chm
  • %Windows%\Help\drwtsn32.chm
  • %Windows%\Help\drwtsn32.hlp
  • %Windows%\Help\dsclient.hlp
  • %Windows%\Help\dskquoui.chm
  • %Windows%\Help\dskquoui.hlp
  • %Windows%\Help\dxdiag.chm
  • %Windows%\Help\els.chm
  • %Windows%\Help\els.hlp
  • %Windows%\Help\encrypt.chm
  • %Windows%\Help\eudcedit.chm
  • %Windows%\Help\eudcedit.hlp
  • %Windows%\Help\evconcepts.chm
  • %Windows%\Help\evntwin.hlp
  • %Windows%\Help\fde.hlp
  • %Windows%\Help\filefold.chm
  • %Windows%\Help\filefold.hlp
  • %Windows%\Help\filemgmt.hlp
  • %Windows%\Help\file_srv.chm
  • %Windows%\Help\find.chm
  • %Windows%\Help\folderop.chm
  • %Windows%\Help\fonts.chm
  • %Windows%\Help\fonts.hlp
  • %Windows%\Help\freecell.chm
  • %Windows%\Help\freecell.hlp
  • %Windows%\Help\fxsclnt.chm
  • %Windows%\Help\fxsclnt.hlp
  • %Windows%\Help\fxscover.chm
  • %Windows%\Help\fxsshare.chm
  • %Windows%\Help\gen.chm
  • %Windows%\Help\Glossary.chm
  • %Windows%\Help\gpedit.chm
  • %Windows%\Help\gpedit.hlp
  • %Windows%\Help\gptext.hlp
  • %Windows%\Help\halftone.hlp
  • %Windows%\Help\hardware.chm
  • %Windows%\Help\hardware.hlp
  • %Windows%\Help\howto.chm
  • %Windows%\Help\hrtz.chm
  • %Windows%\Help\hs.chm
  • %Windows%\Help\hschelp.chm
  • %Windows%\Help\hypertrm.chm
  • %Windows%\Help\hypertrm.hlp
  • %Windows%\Help\icwdial.chm
  • %Windows%\Help\ident.hlp
  • %Windows%\Help\ieakmmc.chm
  • %Windows%\Help\ieeula.chm
  • %Windows%\Help\ieos.chm
  • %Windows%\Help\ieshared.chm
  • %Windows%\Help\iesupp.chm
  • %Windows%\Help\iewebhlp.chm
  • %Windows%\Help\iexplore.chm
  • %Windows%\Help\iexplore.hlp
  • %Windows%\Help\iis.chm
  • %Windows%\Help\iismmc.chm
  • %Windows%\Help\imgprev.chm
  • %Windows%\Help\inetres.chm
  • %Windows%\Help\infrared.chm
  • %Windows%\Help\infrared.hlp
  • %Windows%\Help\input.chm
  • %Windows%\Help\input.hlp
  • %Windows%\Help\intellimirror.chm
  • %Windows%\Help\ipsecconcepts.chm
  • %Windows%\Help\ipsecsnp.chm
  • %Windows%\Help\ipsecsnp.hlp
  • %Windows%\Help\Ipv6.chm
  • %Windows%\Help\is.chm
  • %Windows%\Help\isconcepts.chm
  • %Windows%\Help\ixhelp.hlp
  • %Windows%\Help\ixqlang.htm
  • %Windows%\Help\joy.chm
  • %Windows%\Help\key.chm
  • %Windows%\Help\keyb.chm
  • %Windows%\Help\keyshort.chm
  • %Windows%\Help\lang.chm
  • %Windows%\Help\langbar.chm
  • %Windows%\Help\license.chm
  • %Windows%\Help\localsec.chm
  • %Windows%\Help\localsec.hlp
  • %Windows%\Help\lpe.chm
  • %Windows%\Help\lpeconcepts.chm
  • %Windows%\Help\magnify.chm
  • %Windows%\Help\magnify.hlp
  • %Windows%\Help\mail.chm
  • %Windows%\Help\mfcuix.hlp
  • %Windows%\Help\migwiz.htm
  • %Windows%\Help\migwiz2.htm
  • %Windows%\Help\misc.chm
  • %Windows%\Help\mls_trb.chm
  • %Windows%\Help\mmc.chm
  • %Windows%\Help\mmc_dlg.hlp
  • %Windows%\Help\mobsync.chm
  • %Windows%\Help\mobsync.hlp
  • %Windows%\Help\mode.chm
  • %Windows%\Help\modem.hlp
  • %Windows%\Help\mouse.chm
  • %Windows%\Help\mouse.hlp
  • %Windows%\Help\mpconcepts.chm
  • %Windows%\Help\mplayer2.cnt
  • %Windows%\Help\mplayer2.hlp
  • %Windows%\Help\mpnetwrk.hlp
  • %Windows%\Help\mqsnap.hlp
  • %Windows%\Help\msconfig.chm
  • %Windows%\Help\msdasc.chm
  • %Windows%\Help\mshearts.chm
  • %Windows%\Help\mshearts.cnt
  • %Windows%\Help\mshearts.hlp
  • %Windows%\Help\msinfo32.chm
  • %Windows%\Help\msmq.chm
  • %Windows%\Help\msmqconcepts.chm
  • %Windows%\Help\msnauth.cnt
  • %Windows%\Help\msnauth.hlp
  • %Windows%\Help\msoe.chm
  • %Windows%\Help\msoe.hlp
  • %Windows%\Help\msoeacct.hlp
  • %Windows%\Help\msorcl32.chm
  • %Windows%\Help\mspaint.chm
  • %Windows%\Help\mspaint.hlp
  • %Windows%\Help\mstask.chm
  • %Windows%\Help\mstask.hlp
  • %Windows%\Help\mstsc.chm
  • %Windows%\Help\netcfg.chm
  • %Windows%\Help\netcfg.hlp
  • %Windows%\Help\network.chm
  • %Windows%\Help\newfeat1.chm
  • %Windows%\Help\newfeat1.hlp
  • %Windows%\Help\newfeat2.chm
  • %Windows%\Help\newfeat2.hlp
  • %Windows%\Help\newfeat3.chm
  • %Windows%\Help\newfeat3.hlp
  • %Windows%\Help\newfeat4.chm
  • %Windows%\Help\newfeat4.hlp
  • %Windows%\Help\newfeat5.chm
  • %Windows%\Help\newfeat5.hlp
  • %Windows%\Help\nmchat.chm
  • %Windows%\Help\nmwhiteb.chm
  • %Windows%\Help\nocontnt.cnt
  • %Windows%\Help\nofts.chm
  • %Windows%\Help\notepad.chm
  • %Windows%\Help\notepad.hlp
  • %Windows%\Help\ntart.chm
  • %Windows%\Help\ntbackup.chm
  • %Windows%\Help\ntbackup.hlp
  • %Windows%\Help\ntchowto.chm
  • %Windows%\Help\ntcmds.chm
  • %Windows%\Help\ntdef.chm
  • %Windows%\Help\nthelp.chm
  • %Windows%\Help\ntshared.chm
  • %Windows%\Help\ntshrui.hlp
  • %Windows%\Help\nusrmgr.chm
  • %Windows%\Help\nwdoc.chm
  • %Windows%\Help\nwdoc.hlp
  • %Windows%\Help\objsel.hlp
  • %Windows%\Help\odbcinst.chm
  • %Windows%\Help\odbcjet.chm
  • %Windows%\Help\oe_msgr.chm
  • %Windows%\Help\offlinefolders.chm
  • %Windows%\Help\omc.chm
  • %Windows%\Help\osk.chm
  • %Windows%\Help\osk.hlp
  • %Windows%\Help\packager.chm
  • %Windows%\Help\password.chm
  • %Windows%\Help\phowto.chm
  • %Windows%\Help\pinball.chm
  • %Windows%\Help\pinball.hlp
  • %Windows%\Help\plyr_err.chm
  • %Windows%\Help\printfnd.chm
  • %Windows%\Help\printing.chm
  • %Windows%\Help\progman.cnt
  • %Windows%\Help\progman.hlp
  • %Windows%\Help\pwrmn.chm
  • %Windows%\Help\pwrmn.hlp
  • %Windows%\Help\qosconcepts.chm
  • %Windows%\Help\ratings.chm
  • %Windows%\Help\ratings.cnt
  • %Windows%\Help\ratings.hlp
  • %Windows%\Help\rdesktop.chm
  • %Windows%\Help\reader.chm
  • %Windows%\Help\reader.hlp
  • %Windows%\Help\recycle.chm
  • %Windows%\Help\regedit.chm
  • %Windows%\Help\regedit.hlp
  • %Windows%\Help\regopt.chm
  • %Windows%\Help\remasst.chm
  • %Windows%\Help\reskit.chm
  • %Windows%\Help\rktools.chm
  • %Windows%\Help\rrc.chm
  • %Windows%\Help\rsm.chm
  • %Windows%\Help\rsm.hlp
  • %Windows%\Help\rsmconcepts.chm
  • %Windows%\Help\rsop.chm
  • %Windows%\Help\rsopsnp.chm
  • %Windows%\Help\rvse.chm
  • %Windows%\Help\safer.chm
  • %Windows%\Help\saferconcepts.chm
  • %Windows%\Help\sapicpl.hlp
  • %Windows%\Help\sc.chm
  • %Windows%\Help\scarddlg.hlp
  • %Windows%\Help\sce.chm
  • %Windows%\Help\sceconcepts.chm
  • %Windows%\Help\scm.chm
  • %Windows%\Help\scmconcepts.chm
  • %Windows%\Help\secauth.hlp
  • %Windows%\Help\secedit.chm
  • %Windows%\Help\secsetconcepts.chm
  • %Windows%\Help\secsettings.chm
  • %Windows%\Help\sendcmsg.chm
  • %Windows%\Help\sendcmsg.hlp
  • %Windows%\Help\sfmmgr.hlp
  • %Windows%\Help\shell.hlp
  • %Windows%\Help\shvl.chm
  • %Windows%\Help\signin.hlp
  • %Windows%\Help\sigverif.hlp
  • %Windows%\Help\smlogcfg.chm
  • %Windows%\Help\sndvol32.chm
  • %Windows%\Help\sndvol32.hlp
  • %Windows%\Help\sniffpol.dll
  • %Windows%\Help\snmpconcepts.chm
  • %Windows%\Help\snmpsnap.hlp
  • %Windows%\Help\sol.chm
  • %Windows%\Help\sol.hlp
  • %Windows%\Help\soundrec.chm
  • %Windows%\Help\soundrec.hlp
  • %Windows%\Help\sounds.chm
  • %Windows%\Help\spad.chm
  • %Windows%\Help\spconcepts.chm
  • %Windows%\Help\speech.chm
  • %Windows%\Help\spider.chm
  • %Windows%\Help\spider.hlp
  • %Windows%\Help\splash.chm
  • %Windows%\Help\spolsconcepts.chm
  • %Windows%\Help\sr_ui.chm
  • %Windows%\Help\sstub.dll
  • %Windows%\Help\supp_ed.chm
  • %Windows%\Help\suptools.chm
  • %Windows%\Help\sysdm.chm
  • %Windows%\Help\sysdm.hlp
  • %Windows%\Help\sysmon.chm
  • %Windows%\Help\sysmon.hlp
  • %Windows%\Help\sysprop.chm
  • %Windows%\Help\sysrestore.chm
  • %Windows%\Help\sysrestore.hlp
  • %Windows%\Help\system.chm
  • %Windows%\Help\sys_srv.chm
  • %Windows%\Help\tapi.chm
  • %Windows%\Help\tapi.hlp
  • %Windows%\Help\taskbar.chm
  • %Windows%\Help\taskmgr.chm
  • %Windows%\Help\taskmgr.hlp
  • %Windows%\Help\tcpip.chm
  • %Windows%\Help\tcpmon.hlp
  • %Windows%\Help\telnet.chm
  • %Windows%\Help\telnet.hlp
  • %Windows%\Help\timesrv.chm
  • %Windows%\Help\tshoot.chm
  • %Windows%\Help\tshoot.dll
  • %Windows%\Help\twclient.chm
  • %Windows%\Help\twclient.hlp
  • %Windows%\Help\update.cnt
  • %Windows%\Help\update1.chm
  • %Windows%\Help\usercpl.chm
  • %Windows%\Help\users.hlp
  • %Windows%\Help\utilmgr.chm
  • %Windows%\Help\utilmgr.hlp
  • %Windows%\Help\verifier.hlp
  • %Windows%\Help\wab.chm
  • %Windows%\Help\wab.hlp
  • %Windows%\Help\wbemtest.chm
  • %Windows%\Help\webpub.chm
  • %Windows%\Help\whatsnew.chm
  • %Windows%\Help\winchat.chm
  • %Windows%\Help\winchat.hlp
  • %Windows%\Help\windows.chm
  • %Windows%\Help\windows.chq
  • %Windows%\Help\windows.cnt
  • %Windows%\Help\windows.hlp
  • %Windows%\Help\winhlp32.cnt
  • %Windows%\Help\winhlp32.hlp
  • %Windows%\Help\wininstl.chm
  • %Windows%\Help\winmine.chm
  • %Windows%\Help\winmine.hlp
  • %Windows%\Help\win_dos.chm
  • %Windows%\Help\wmic.chm
  • %Windows%\Help\wmifltr.chm
  • %Windows%\Help\wmplay.chm
  • %Windows%\Help\wmplayer.chm
  • %Windows%\Help\wordpad.chm
  • %Windows%\Help\wordpad.hlp
  • %Windows%\Help\wpa.chm
  • %Windows%\Help\wschelp.chm
  • %Windows%\Help\wscript.chm
  • %Windows%\Help\wscript.hlp
  • %Windows%\Help\wsecedit.hlp
  • %Windows%\Help\wshconcepts.chm
  • %Windows%\Help\wuau.chm
  • %Windows%\Help\wuauhelp.chm

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
(Default) = "fuckme"

HKEY_CURRENT_USER\Software\Microsoft\
Telnet

ワームは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
DisplayLogo = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
ActiveDebugging = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
SilentTerminate = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Script Host\Settings
UseWINSAFER = "1"

感染活動

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe
shell\open={garbage characters}
shell\open\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe
shell\open\Default=1
shell\explore={garbage characters}
shell\explore\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe

ダウンロード活動

ワームは、以下の不正Webサイトにアクセスします。

  • http://{BLOCKED}.{BLOCKED}.0.1/get.asp?mac=QJYrEkygRU&ver=1.5
  • http://{BLOCKED}.{BLOCKED}.205.22:8888/down.txt
  • http://{BLOCKED}.{BLOCKED}.205.22:8888/zxc.exe
  • http://{BLOCKED}s.cn/wm/chajian.exe

HOSTSファイルの改変

ワームは、WindowsのHOSTSファイルに以下の文字列を追加します。

  • 127.0.0.0 360.qihoo.com
  • 127.0.0.1 bbs.sucop.com
  • 127.0.0.1 dl.jiangmin.com
  • 127.0.0.1 jiangmin.com
  • 127.0.0.1 kaspersky.com.cn
  • 127.0.0.1 qihoo.com
  • 127.0.0.1 rising.com.cn
  • 127.0.0.1 tool.ikaka.com
  • 127.0.0.1 virustotal.com
  • 127.0.0.1 www.360safe.com
  • 127.0.0.1 www.chinakv.com
  • 127.0.0.1 www.dswlab.com
  • 127.0.0.1 www.eset.com.cn
  • 127.0.0.1 www.jiangmin.com
  • 127.0.0.1 www.kaspersky.com
  • 127.0.0.1 www.kaspersky.com.cn
  • 127.0.0.1 www.lanniao.org
  • 127.0.0.1 www.nod32.com
  • 127.0.0.1 www.nod32club.com
  • 127.0.0.1 www.qihoo.com
  • 127.0.0.1 www.rising.com.cn
  • 127.0.0.1 www.virustotal.com
  • {BLOCKED].{BLOCKED}.37.99 union.kingsoft.com

その他

ワームは、以下の不正なWebサイトにアクセスします。

  • {BLOCKED}.{BLOCKED}.2.15:4444

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

  対応方法

対応検索エンジン: 9.300
初回 VSAPI パターンバージョン 9.465.00
初回 VSAPI パターンリリース日 2012年10月17日
VSAPI OPR パターンバージョン 9.466.06
VSAPI OPR パターンリリース日 2012年10月18日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

メモリ上で実行されているプロセスを終了します。

[ 詳細 ]

註：検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。  
  • ini.exe

手順 3

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\programs\fuckme.vbs
  • %Windows%\programs\wsock32.dll
  • %Windows%\programs\desktop.ini
  • %Windows%\Tasks\°²×°.bat
  • %System Root%\sks.vbs

手順 4

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Windows%\programs

手順 5

不正プログラム/グレイウェア/スパイウェアがHOSTSファイルに追加した文字列を削除します。

[ 詳細 ]
    • 127.0.0.0 360.qihoo.com
    • 127.0.0.1 bbs.sucop.com
    • 127.0.0.1 dl.jiangmin.com
    • 127.0.0.1 jiangmin.com
    • 127.0.0.1 kaspersky.com.cn
    • 127.0.0.1 qihoo.com
    • 127.0.0.1 rising.com.cn
    • 127.0.0.1 tool.ikaka.com
    • 127.0.0.1 virustotal.com
    • 127.0.0.1 www.360safe.com
    • 127.0.0.1 www.chinakv.com
    • 127.0.0.1 www.dswlab.com
    • 127.0.0.1 www.eset.com.cn
    • 127.0.0.1 www.jiangmin.com
    • 127.0.0.1 www.kaspersky.com
    • 127.0.0.1 www.kaspersky.com.cn
    • 127.0.0.1 www.lanniao.org
    • 127.0.0.1 www.nod32.com
    • 127.0.0.1 www.nod32club.com
    • 127.0.0.1 www.qihoo.com
    • 127.0.0.1 www.rising.com.cn
    • 127.0.0.1 www.virustotal.com
    • {BLOCKED}.{BLOCKED}.37.99 union.kingsoft.com

手順 6

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
    • (Default) = "fuckme"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
    • stubpath = "%windir%\programs\fuckme.vbs"

手順 7

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

%Windows%\Help\access.chm      
%Windows%\Help\access.hlp      
%Windows%\Help\accessib.chm    
%Windows%\Help\acc_dis.chm    
%Windows%\Help\aclui.chm      
%Windows%\Help\aclui.hlp      
%Windows%\Help\addremov.chm    
%Windows%\Help\ade.hlp        
%Windows%\Help\admtools.chm    
%Windows%\Help\adprop.hlp      
%Windows%\Help\agt0405.hlp    
%Windows%\Help\agt0406.hlp    
%Windows%\Help\agt0407.hlp    
%Windows%\Help\agt0408.hlp    
%Windows%\Help\agt0409.hlp    
%Windows%\Help\agt040b.hlp    
%Windows%\Help\agt040c.hlp    
%Windows%\Help\agt040e.hlp    
%Windows%\Help\agt0410.hlp    
%Windows%\Help\agt0413.hlp    
%Windows%\Help\agt0414.hlp    
%Windows%\Help\agt0415.hlp    
%Windows%\Help\agt0416.hlp    
%Windows%\Help\agt0419.hlp    
%Windows%\Help\agt041d.hlp    
%Windows%\Help\agt041f.hlp    
%Windows%\Help\agt0816.hlp    
%Windows%\Help\agt0c0a.hlp    
%Windows%\Help\apps.chm        
%Windows%\Help\apps_sp.chm    
%Windows%\Help\article.chm    
%Windows%\Help\atm.chm        
%Windows%\Help\audiocdc.hlp
%Windows%\Help\audit.chm
%Windows%\Help\bckg.chm
%Windows%\Help\blurbs.chm
%Windows%\Help\blutooth.chm
%Windows%\Help\bnts.dll
%Windows%\Help\bootcons.chm
%Windows%\Help\brief.chm
%Windows%\Help\calc.chm
%Windows%\Help\calc.hlp
%Windows%\Help\camera.chm
%Windows%\Help\camera.hlp
%Windows%\Help\cdmedia.chm
%Windows%\Help\cdmedia.hlp
%Windows%\Help\certmgr.chm
%Windows%\Help\certmgr.hlp
%Windows%\Help\charmap.chm
%Windows%\Help\charmap.hlp
%Windows%\Help\chkr.chm
%Windows%\Help\chnscsvr.hlp
%Windows%\Help\chooser.hlp
%Windows%\Help\ciadmin.htm
%Windows%\Help\ciquery.htm
%Windows%\Help\clipbrd.chm
%Windows%\Help\clipbrd.hlp
%Windows%\Help\cmconcepts.chm
%Windows%\Help\colormgt.chm
%Windows%\Help\comexp.chm
%Windows%\Help\comexp.hlp
%Windows%\Help\common.chm
%Windows%\Help\compfldr.chm
%Windows%\Help\compmgmt.chm
%Windows%\Help\compstui.hlp
%Windows%\Help\conf.chm
%Windows%\Help\conf.cnt
%Windows%\Help\conf.hlp
%Windows%\Help\conf1.chm
%Windows%\Help\connect.cnt
%Windows%\Help\connect.hlp
%Windows%\Help\cpanel.chm
%Windows%\Help\cpanel.chq
%Windows%\Help\cscui.hlp
%Windows%\Help\cyycoins.chm
%Windows%\Help\cyzcoins.chm
%Windows%\Help\datetime.chm
%Windows%\Help\ddeshare.chm
%Windows%\Help\ddeshare.hlp
%Windows%\Help\defrag.chm
%Windows%\Help\defrag.hlp
%Windows%\Help\devmgr.chm
%Windows%\Help\devmgr.hlp
%Windows%\Help\dfs.hlp
%Windows%\Help\diagboot.chm
%Windows%\Help\dialer.chm
%Windows%\Help\dialer.hlp
%Windows%\Help\digiras.chm
%Windows%\Help\dijoy.hlp
%Windows%\Help\diskmgmt.chm
%Windows%\Help\diskmgmt.hlp
%Windows%\Help\display.chm
%Windows%\Help\display.hlp
%Windows%\Help\dkconcepts.chm
%Windows%\Help\drvvfp.chm  
%Windows%\Help\drwtsn32.chm
%Windows%\Help\drwtsn32.hlp
%Windows%\Help\dsclient.hlp
%Windows%\Help\dskquoui.chm
%Windows%\Help\dskquoui.hlp
%Windows%\Help\dxdiag.chm
%Windows%\Help\els.chm
%Windows%\Help\els.hlp
%Windows%\Help\encrypt.chm
%Windows%\Help\eudcedit.chm
%Windows%\Help\eudcedit.hlp
%Windows%\Help\evconcepts.chm
%Windows%\Help\evntwin.hlp
%Windows%\Help\fde.hlp
%Windows%\Help\filefold.chm
%Windows%\Help\filefold.hlp
%Windows%\Help\filemgmt.hlp
%Windows%\Help\file_srv.chm
%Windows%\Help\find.chm
%Windows%\Help\folderop.chm
%Windows%\Help\fonts.chm
%Windows%\Help\fonts.hlp
%Windows%\Help\freecell.chm
%Windows%\Help\freecell.hlp
%Windows%\Help\fxsclnt.chm
%Windows%\Help\fxsclnt.hlp
%Windows%\Help\fxscover.chm
%Windows%\Help\fxsshare.chm
%Windows%\Help\gen.chm
%Windows%\Help\Glossary.chm
%Windows%\Help\gpedit.chm
%Windows%\Help\gpedit.hlp
%Windows%\Help\gptext.hlp
%Windows%\Help\halftone.hlp
%Windows%\Help\hardware.chm
%Windows%\Help\hardware.hlp
%Windows%\Help\howto.chm
%Windows%\Help\hrtz.chm
%Windows%\Help\hs.chm
%Windows%\Help\hschelp.chm
%Windows%\Help\hypertrm.chm
%Windows%\Help\hypertrm.hlp
%Windows%\Help\icwdial.chm
%Windows%\Help\ident.hlp
%Windows%\Help\ieakmmc.chm
%Windows%\Help\ieeula.chm
%Windows%\Help\ieos.chm
%Windows%\Help\ieshared.chm
%Windows%\Help\iesupp.chm
%Windows%\Help\iewebhlp.chm
%Windows%\Help\iexplore.chm
%Windows%\Help\iexplore.hlp
%Windows%\Help\iis.chm
%Windows%\Help\iismmc.chm
%Windows%\Help\imgprev.chm
%Windows%\Help\inetres.chm
%Windows%\Help\infrared.chm
%Windows%\Help\infrared.hlp
%Windows%\Help\input.chm
%Windows%\Help\input.hlp
%Windows%\Help\intellimirror.chm
%Windows%\Help\ipsecconcepts.chm
%Windows%\Help\ipsecsnp.chm
%Windows%\Help\ipsecsnp.hlp
%Windows%\Help\Ipv6.chm
%Windows%\Help\is.chm
%Windows%\Help\isconcepts.chm
%Windows%\Help\ixhelp.hlp
%Windows%\Help\ixqlang.htm 
%Windows%\Help\joy.chm
%Windows%\Help\key.chm
%Windows%\Help\keyb.chm
%Windows%\Help\keyshort.chm
%Windows%\Help\lang.chm
%Windows%\Help\langbar.chm
%Windows%\Help\license.chm
%Windows%\Help\localsec.chm
%Windows%\Help\localsec.hlp
%Windows%\Help\lpe.chm
%Windows%\Help\lpeconcepts.chm
%Windows%\Help\magnify.chm
%Windows%\Help\magnify.hlp
%Windows%\Help\mail.chm
%Windows%\Help\mfcuix.hlp
%Windows%\Help\migwiz.htm
%Windows%\Help\migwiz2.htm  
%Windows%\Help\misc.chm
%Windows%\Help\mls_trb.chm
%Windows%\Help\mmc.chm
%Windows%\Help\mmc_dlg.hlp
%Windows%\Help\mobsync.chm
%Windows%\Help\mobsync.hlp
%Windows%\Help\mode.chm
%Windows%\Help\modem.hlp
%Windows%\Help\mouse.chm
%Windows%\Help\mouse.hlp
%Windows%\Help\mpconcepts.chm
%Windows%\Help\mplayer2.cnt
%Windows%\Help\mplayer2.hlp
%Windows%\Help\mpnetwrk.hlp
%Windows%\Help\mqsnap.hlp
%Windows%\Help\msconfig.chm
%Windows%\Help\msdasc.chm
%Windows%\Help\mshearts.chm
%Windows%\Help\mshearts.cnt
%Windows%\Help\mshearts.hlp
%Windows%\Help\msinfo32.chm
%Windows%\Help\msmq.chm
%Windows%\Help\msmqconcepts.chm
%Windows%\Help\msnauth.cnt
%Windows%\Help\msnauth.hlp
%Windows%\Help\msoe.chm
%Windows%\Help\msoe.hlp
%Windows%\Help\msoeacct.hlp
%Windows%\Help\msorcl32.chm
%Windows%\Help\mspaint.chm
%Windows%\Help\mspaint.hlp
%Windows%\Help\mstask.chm
%Windows%\Help\mstask.hlp
%Windows%\Help\mstsc.chm
%Windows%\Help\netcfg.chm
%Windows%\Help\netcfg.hlp
%Windows%\Help\network.chm
%Windows%\Help\newfeat1.chm
%Windows%\Help\newfeat1.hlp
%Windows%\Help\newfeat2.chm
%Windows%\Help\newfeat2.hlp
%Windows%\Help\newfeat3.chm
%Windows%\Help\newfeat3.hlp
%Windows%\Help\newfeat4.chm
%Windows%\Help\newfeat4.hlp
%Windows%\Help\newfeat5.chm
%Windows%\Help\newfeat5.hlp
%Windows%\Help\nmchat.chm
%Windows%\Help\nmwhiteb.chm
%Windows%\Help\nocontnt.cnt
%Windows%\Help\nofts.chm
%Windows%\Help\notepad.chm
%Windows%\Help\notepad.hlp
%Windows%\Help\ntart.chm
%Windows%\Help\ntbackup.chm
%Windows%\Help\ntbackup.hlp
%Windows%\Help\ntchowto.chm
%Windows%\Help\ntcmds.chm
%Windows%\Help\ntdef.chm
%Windows%\Help\nthelp.chm
%Windows%\Help\ntshared.chm
%Windows%\Help\ntshrui.hlp
%Windows%\Help\nusrmgr.chm
%Windows%\Help\nwdoc.chm
%Windows%\Help\nwdoc.hlp
%Windows%\Help\objsel.hlp
%Windows%\Help\odbcinst.chm
%Windows%\Help\odbcjet.chm
%Windows%\Help\oe_msgr.chm
%Windows%\Help\offlinefolders.chm
%Windows%\Help\omc.chm
%Windows%\Help\osk.chm
%Windows%\Help\osk.hlp
%Windows%\Help\packager.chm
%Windows%\Help\password.chm
%Windows%\Help\phowto.chm
%Windows%\Help\pinball.chm
%Windows%\Help\pinball.hlp
%Windows%\Help\plyr_err.chm
%Windows%\Help\printfnd.chm
%Windows%\Help\printing.chm
%Windows%\Help\progman.cnt
%Windows%\Help\progman.hlp
%Windows%\Help\pwrmn.chm
%Windows%\Help\pwrmn.hlp
%Windows%\Help\qosconcepts.chm
%Windows%\Help\ratings.chm
%Windows%\Help\ratings.cnt
%Windows%\Help\ratings.hlp
%Windows%\Help\rdesktop.chm
%Windows%\Help\reader.chm
%Windows%\Help\reader.hlp
%Windows%\Help\recycle.chm
%Windows%\Help\regedit.chm
%Windows%\Help\regedit.hlp
%Windows%\Help\regopt.chm
%Windows%\Help\remasst.chm
%Windows%\Help\reskit.chm
%Windows%\Help\rktools.chm
%Windows%\Help\rrc.chm
%Windows%\Help\rsm.chm
%Windows%\Help\rsm.hlp
%Windows%\Help\rsmconcepts.chm
%Windows%\Help\rsop.chm
%Windows%\Help\rsopsnp.chm
%Windows%\Help\rvse.chm
%Windows%\Help\safer.chm
%Windows%\Help\saferconcepts.chm
%Windows%\Help\sapicpl.hlp
%Windows%\Help\sc.chm
%Windows%\Help\scarddlg.hlp
%Windows%\Help\sce.chm
%Windows%\Help\sceconcepts.chm
%Windows%\Help\scm.chm
%Windows%\Help\scmconcepts.chm
%Windows%\Help\secauth.hlp
%Windows%\Help\secedit.chm
%Windows%\Help\secsetconcepts.chm
%Windows%\Help\secsettings.chm
%Windows%\Help\sendcmsg.chm
%Windows%\Help\sendcmsg.hlp
%Windows%\Help\sfmmgr.hlp
%Windows%\Help\shell.hlp
%Windows%\Help\shvl.chm
%Windows%\Help\signin.hlp
%Windows%\Help\sigverif.hlp
%Windows%\Help\smlogcfg.chm
%Windows%\Help\sndvol32.chm
%Windows%\Help\sndvol32.hlp
%Windows%\Help\sniffpol.dll
%Windows%\Help\snmpconcepts.chm
%Windows%\Help\snmpsnap.hlp
%Windows%\Help\sol.chm
%Windows%\Help\sol.hlp
%Windows%\Help\soundrec.chm
%Windows%\Help\soundrec.hlp
%Windows%\Help\sounds.chm
%Windows%\Help\spad.chm
%Windows%\Help\spconcepts.chm
%Windows%\Help\speech.chm
%Windows%\Help\spider.chm
%Windows%\Help\spider.hlp
%Windows%\Help\splash.chm
%Windows%\Help\spolsconcepts.chm
%Windows%\Help\sr_ui.chm
%Windows%\Help\sstub.dll
%Windows%\Help\supp_ed.chm
%Windows%\Help\suptools.chm
%Windows%\Help\sysdm.chm
%Windows%\Help\sysdm.hlp
%Windows%\Help\sysmon.chm
%Windows%\Help\sysmon.hlp
%Windows%\Help\sysprop.chm
%Windows%\Help\sysrestore.chm
%Windows%\Help\sysrestore.hlp
%Windows%\Help\system.chm
%Windows%\Help\sys_srv.chm
%Windows%\Help\tapi.chm
%Windows%\Help\tapi.hlp
%Windows%\Help\taskbar.chm
%Windows%\Help\taskmgr.chm
%Windows%\Help\taskmgr.hlp
%Windows%\Help\tcpip.chm
%Windows%\Help\tcpmon.hlp
%Windows%\Help\telnet.chm
%Windows%\Help\telnet.hlp
%Windows%\Help\timesrv.chm
%Windows%\Help\tshoot.chm
%Windows%\Help\tshoot.dll
%Windows%\Help\twclient.chm
%Windows%\Help\twclient.hlp
%Windows%\Help\update.cnt
%Windows%\Help\update1.chm
%Windows%\Help\usercpl.chm
%Windows%\Help\users.hlp
%Windows%\Help\utilmgr.chm
%Windows%\Help\utilmgr.hlp
%Windows%\Help\verifier.hlp
%Windows%\Help\wab.chm
%Windows%\Help\wab.hlp
%Windows%\Help\wbemtest.chm
%Windows%\Help\webpub.chm
%Windows%\Help\whatsnew.chm
%Windows%\Help\winchat.chm
%Windows%\Help\winchat.hlp
%Windows%\Help\windows.chm
%Windows%\Help\windows.chq
%Windows%\Help\windows.cnt
%Windows%\Help\windows.hlp
%Windows%\Help\winhlp32.cnt
%Windows%\Help\winhlp32.hlp
%Windows%\Help\wininstl.chm
%Windows%\Help\winmine.chm
%Windows%\Help\winmine.hlp
%Windows%\Help\win_dos.chm
%Windows%\Help\wmic.chm
%Windows%\Help\wmifltr.chm
%Windows%\Help\wmplay.chm
%Windows%\Help\wmplayer.chm
%Windows%\Help\wordpad.chm
%Windows%\Help\wordpad.hlp
%Windows%\Help\wpa.chm
%Windows%\Help\wschelp.chm
%Windows%\Help\wscript.chm
%Windows%\Help\wscript.hlp
%Windows%\Help\wsecedit.hlp
%Windows%\Help\wshconcepts.chm
%Windows%\Help\wuau.chm
%Windows%\Help\wuauhelp.chm

手順 8

「WORM_AUTORUN.HUU」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。

[ 詳細 ]
  • [AutoRun]
  • open=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe
  • shell\open={garbage characters}
  • shell\open\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe
  • shell\open\Default=1
  • shell\explore={garbage characters}
  • shell\explore\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe

手順 9

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_AUTORUN.HUU」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください