McAfee for Small Businesses

ウイルス名 危険度 W32/Autorun.worm.aaeh 企業ユーザ: 低 個人ユーザ: 低 種別 トロイの木馬 最小定義ファイル (最初に検出を確認したバージョン) 6890 対応定義ファイル (現在必要とされるバージョン) 6913　（現在7109) 対応エンジン 5.4.00.1158以降　(現在5.4.00)　 エンジンバージョンの見分け方 情報掲載日 2012/11/30 発見日（米国日付） 2012/11/28 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 06/17 RDN/Sdbot.bf... 06/17 VBS/LoveLett... 06/17 Generic Qhos... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7109  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る ・実行時、以下のパスに自身のコピーを作成します。 %UserProfile%\[ランダム].exe 注：%UserProfile%はカレントユーザのプロファイルフォルダを指しています。 ・また、以下のファイル名でリムーバブルドライブに自身のコピーを作成します。 Secret.exe Sexy.exe Porn.exe Passwords.exe ・さらに、以下の0バイトのファイルをリムーバブルドライブにドロップ（作成）します。 x.mpeg ・リムーバブルストレージドライブおよびマウントされたネットワークドライブに自身のコピーを作成して拡散します。自動実行が有効に設定されている別のシステムに接続されたときに自身が自動的に実行されるようにするため、「autorun.inf」を作成します。 ・感染したドライブのフォルダを隠し属性に変更し、隠しフォルダとして同じファイル名を持つ自身のコピーを作成します。 ・リムーバブルドライブで以下の拡張子を持つファイルを確認し、隠し属性に変更し、隠しファイルとして同じファイル名を持つ自身のコピーを作成します。 mp3 avi wma wmv wav mpg mp4 doc txt pdf xls jpg jpe bmp gif tif png ・ZIPおよびRAR圧縮ファイルに自身のコピーを追加します。追加されるコピーのファイル名は以下のとおりです。 Secret.exe ・起動時に自動的に実行されるよう、以下のレジストリ項目を作成します。 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run [マルウェアのファイル名] =” %UserProfile%\[ランダムな名前].exe /e" 注：上記のコマンドラインオプションである/eは、実行中にW32/Autorun.worm.aaehによって更新される可能性があります。その他のオプションには、「/g」、「/r」、「/p」、「/s」が含まれます。 ・NoAutoUpdateの値を1に設定して、Windowsのアップデートを無効にします。 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU NoAutoUpdate = dword:00000001 ・以下のレジストリ値を設定して、隠しファイルを非表示のままにします。 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ShowSuperHidden = dword:00000000 ・以下のドメインまたはTCPポート8000、8003、9004に接続します。 ns1.helpupdater.net ns1.helpupdater.net ns1.helpchecks.net ns1.helpupdated.com ns1.helpupdated.net ns1.helpupdated.org ns1.helpupdatek.at ns1.helpupdatek.eu ns1.helpupdatek.tw ns1.helpupdater.net ns1.helpupdates.com ns1.helpupdated.co ns1.helpupdated.ne ns1.helpupdated.or ns1.helpupdatek.a ns1.helpupdatek.e ・特定のポートに接続すると、C&Cサーバはダウンロードするファイルのリンクを含むダウンロードコマンドを自動的に送信します。次に、リンク先のファイルをダウンロードして実行しようとします。 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る 上記のファイルが存在します。 上記のURLへの予期しないネットワーク接続が存在します。 上記のレジストリ項目が存在します。 感染方法 TOPへ戻る ・W32/Autorun.worm.aaehはリムーバブルストレージドライブおよびマウントされたネットワークドライブに自身のコピーを作成して拡散します。自動実行が有効に設定されている別のシステムに接続されたときに自身が自動的に実行されるようにするため、「autorun.inf」を作成します。 ・感染したドライブのフォルダを隠し属性に変更し、隠しフォルダとして同じファイル名を持つ自身のコピーを作成します。 ・また、ZIPおよびRAR圧縮ファイルに自身のコピーを追加する可能性があります。 駆除方法 TOPへ戻る ■現行のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。