WORM_NECAST.K

2015年11月2日

解析者: Mark Joseph Manahan

別名:

W32/Palevo-BZ (Sophos) ,Worm/Generic2.AXRQ (AVG) ,W32/MSIL_Agent.K.gen!Eldorado (generic, not disinfectable) (Fprot) ,Worm.Win32.Msil (Ikarus) ,Worm.MSIL.Agent.js (Kaspersky) ,Worm:MSIL/Necast.F (Microsoft) ,Generic Malware.og!ats (McAfee) ,MSIL/Agent.AY worm (Eset) ,Infostealer (Symantec) ,Trj/Sinowal.WWG (Panda) ,Trojan.Win32.Generic!BT (Sunbelt)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路リムーバブルドライブを介した感染活動, 他のマルウェアからの作成, インターネットからのダウンロード

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、感染コンピュータから特定の情報を収集します。

詳細

ファイルサイズ 102,400 bytes

タイプ EXE

メモリ常駐はい

発見日 2014年3月3日

ペイロード情報収集

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

%Windows%\system\svchost..exe (For Windows XP and prior)
%User Profile%\Documents\suchost..exe (For Windows Vista and later)

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

%User Startup%\svchost..exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

movies.exe

情報漏えい

ワームは、感染コンピュータから以下の情報を収集します。

Filenames of all .JPG files found in local drives
Filenames of all .XLSX files found in local drives
Filenames of all .DOCX files found in local drives

情報収集

収集した情報は、以下のファイルに保存されます。

%System Root%\Users\Public\Documents\wsystem.vx (For Windows Vista and later)
%Windows%\system\wsystem.vx (For Windows XP and prior)

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ワームは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

{BLOCKED}iler411@gmail.com

対応方法

対応検索エンジン: 9.700

初回 VSAPI パターンバージョン 10.640.03

初回 VSAPI パターンリリース日 2014年3月3日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「WORM_NECAST.K」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 %System Root%\Users\Public\Documents\wsystem.vx

%Windows%\system\wsystem.vx

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_NECAST.K」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください