McAfee for Small Businesses

ウイルス名 危険度 W32/Autorun.worm.eu 企業ユーザ: 低 個人ユーザ: 低 種別 ウイルス 最小定義ファイル (最初に検出を確認したバージョン) 5534 対応定義ファイル (現在必要とされるバージョン) 6307　（現在7080) 対応エンジン 5.3.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 別名 W32.Imaut (Symantec)Worm.Autoit.B (BitDefender)Worm.Win32.AutoIt.bg (F-Secure)Worm.Win32.AutoIt.bg (Kaspersky)Kaspersky - Worm.Win32.AutoRun.fnc Symantec - W32.Imaut.E Ikarus - Worm.Win32.AutoIt Microsoft - Worm:Win32/Tupym.A 情報掲載日 2010/08/16 発見日（米国日付） 2009/02/23 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/19 RDN/Generic ... 05/19 Generic Down... 05/19 RDN/Download... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7080  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る ----2010年8月13日更新-------- ・実行時、以下の場所に自身をコピーします。 %Windir%\system32\system3_.exe [隠しファイル] [W32/Autorun.worm.euという名前で検出] %Windir%\system3_.exe [隠しファイル] [W32/Autorun.worm.euという名前で検出] ・また、以下のファイルをドロップ（作成）します。 %Appdata%\Microsoft\Crypto\RSA\S-1-5-18\d42cc0c3858a58db2db37658219e6400_ca8610d9-a8e4-4125-ac30-afd4f8d8d22c %Windir%\system32\Microsoft\Protect\S-1-5-18\User\a0dcd0f5-634b-4edf-b1ca-93cc0cebb88d %Windir%\system32\autorun.ini [隠しファイル] [W32/Tupym.worm!infという名前で検出] %Windir%\Tasks\At1.job ・毎日09:00時に自身を実行するジョブファイル（At1.job）を作成します。 ・また、すべてのリムーバブルドライブ、マップされたドライブのルートにautorun.infファイルをドロップ（作成）し、ドライブアクセス時に実行ファイルが自動的に実行されるようにします。 ・「AutoRun.inf」ファイルはW32/Autorun.worm.euの実行ファイルを指しています。リムーバブルドライブまたはネットワーク接続されたドライブがAutorun機能をサポートしているマシンからアクセスされると、W32/Autorun.worm.euが自動的に起動されます。 ・以下のレジストリキーがシステムに追加されます。 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Policies\System HKEY_CURRENT_USER\S-1-(不定)\Software\Policies\Microsoft\Internet Explorer HKEY_CURRENT_USER\S-1-(不定)\Software\Policies\Microsoft\Internet Explorer\Control Panel ・以下のレジストリ値が追加されます。 [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Run\] “Yahoo Messengger” = "%Windir%\System32\system3_.exe" ・上記のレジストリにより、W32/Autorun.worm.euが乗っ取ったシステムに登録され、起動のたびに実行されるようにします。 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule\] “AtTaskMaxHours” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\] “GlobalUserOffline” = “0x00000000” ・以下の値をレジストリキーに追加して、フォルダオプション、タスクマネージャ、レジストリツールを無効にします。 [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\] “NoFolderOptions” = “0x00000001” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Policies\System\] “DisableTaskmgr” = “0x00000001” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Policies\System\] “DisableRegistryTools” = “0x00000001” ・以下のレジストリ値が改変されます。 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\] “Default_Page_URL” = http//:www.my[削除]d.50webs.com [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\] “Default_Search_URL” = http//:www.my[削除]d.50webs.com [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\] “Search Page” = http//:www.my[削除]d.50webs.com [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\] “Start Page” = http//:www.my[削除]d.50webs.com [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Internet Explorer\Main\] “Start Page” = http//:www.my[削除]d.50webs.com ・動作すると、上記のレジストリキーを作成または改変して、Internet Explorerのホームページを変更します。 [HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\] “Shell” = "Explorer.exe system3_.exe" ・以下のレジストリにより、Windowsが起動するたびに「system3_.exe」が実行されるようにします。 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Schedule\] “NextAtJobId” = “0x00000002” [%WinDir% = \WINDOWS (Windows 9x/ME/XP/Vista), \WINNT (Windows NT/2000), %Appdata%はアプリケーションデータフォルダ] ----------------------------------------------------------------------------------- ・実行時、以下のファイルがドロップされます。 c:\WINDOWS\MsRun32.exe c:\WINDOWS\system32\autorun.ini c:\WINDOWS\system32\MsRun32.exe ・以下のレジストリキーを追加します。 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler\Shares ・以下のレジストリキーを改変します。 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\WorkgroupCrawler\Shares"shared" 　　　種類： REG_SZ 　　　データ： True_Love.exe HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer "NoFolderOptions" = 1 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\policies\System "DisableRegistryTools" = 1 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\policies\System "DisableTaskMgr" = 1 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "MSN Messengger" 　　　種類： REG_SZ 　　　データ： C:\WINDOWS\system32\MsRun32.exe HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL "CheckedValue" = 0 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon "Shell" 　　　種類： REG_SZ 　　　データ： Explorer.exe MsRun32.exe 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る 上記のファイルおよびレジストリキーが存在します。 以下の通り、固定およびリムーバブルドライブにAutorun.infが存在します。 感染方法 TOPへ戻る ・W32/Autorun.worm.euはリムーバブルドライブに感染して拡散します。 駆除方法 TOPへ戻る ■最新のエンジンとウイルス定義ファイルの組み合わせで、検出・駆除してください。McAfee Labs は、見慣れたもしくは安全に見えるファイルアイコン（特に、ユーザーがファイルを共有できるP2Pクライアント、IRC、E-mailまたはその他のメディアから受け取ったファイルを）を信用しないことを推奨します。 Windows ME/XPでの駆除についての補足