McAfee for Small Businesses

以下の症状が見られる場合、このウイルスに感染している可能性があります。	TOPへ戻る
・異常なTFTPファイルが存在する ・ウィンドウズシステム32ディレクトリ内にmsblast.exeファイルが存在する。 ・（システムを再起動したために）RPCサービスに失敗したことに関するエラーメッセージがでる。 ・ワームはランダムに20の連続するTCPポートを、監視するために開けます。これはコンスタントにポートの範囲を変えます。(例：2500-2520, 2501-2521, 2502-2522) このアクションの目的は不明です。

感染方法

TOPへ戻る

・このワームは、マイクロソフトウィンドウズにおける最新の脆弱性を利用して繁殖します。ポート135上のIPアドレスを、範囲をランダムに選択してスキャンし、発見されたシステムがターゲットになります。悪用されるコードはシステムに送られ、リモートシステムからTFTP経由でMSBLAST.EXEファイルをダウンロード・実行するように命令します。 ・ワームは、8月16日以後にwindowsupdate.com に対してサービス拒否攻撃を実行するためのペイロードを内包しています。このペイロードは、ユーザがシステムにウィンドウズから修正プログラムをダウンロードして適用することを防ぐために、SYNパケットをTCPポート80上のwindowsupdate.com に送信します。送信元のIPアドレスは、ランダムなローカルのBディレクトリIPを使用して毎回偽装されます。 ・最新のウイルス対策ソフトウェアがあるコンピュータは、ダウンロード中にワームの実行ファイル(msblast.exe) を検知し、マシンがW32/Lovsanウイルスのホストマシンになることを防ぎます。 ・しかし、マイクロソフト修正プログラム（MS03-026）を当てていないシステムは、感染したホストマシンからバッファオーバーフロー攻撃をうける可能性があります。msblast.exeファイルが起動中の感染マシンは、ローカルサブネットからポート135で起動中のRPCサービスへ異常なパケットを送信します。このような現象は、実際にワームがマシン上に存在しなくても発生する可能性があります。これはリモートシェルが依然としてTCPポート4444に作成されているためで、異常な悪性コードを受け取ることで突然クラッシュする可能性があります。 ・その他に、以下のような症状がでることがあります。 ・カットアンドペーストができない ・アイコンの移動ができない ・アプリケーションの追加と削除のリストが空である ・マイクロソフトオフィスのほとんどのプログラムでダウンロードエラーが発生する ・マシンのスピードが遅くなる、レスポンスが悪くなる ・MS03-026 マイクロソフト修正プログラムを適用することで、RPCサービスが落ちることを防ぎ、順次これらの症状を解決します。マイクロソフト修正プログラムをインストールした後は、必ず再起動して下さい。そうすることで、マシンは最新のウイルス定義ファイル・エンジン・コンフィグにアップデートし、msblast.exeを抽出するためにオンデマンドスキャンを起動します。msblast.exeが存在する場合、あらゆる上記のような症状はRPCの脆弱性に関連しており、必ずしもW32/Lovsan ウイルスがローカルで起動している必要はありません。Msblast.exeローカルマシン上にはまったく存在していないことも考えられます。

駆除方法

TOPへ戻る

■このウイルスを駆除するためにはマイクロソフト修正プログラムを、先に適用することが必要です。ご使用のシステムがこの脆弱性の危険にさらされていないかを確認してください。 マイクロソフト修正プログラムMS03-026はこちらからダウンロードしてください。 ・ 感染マシンからウイルスを駆除する前に、マイクロソフト修正プログラムを適用してください。クラッシュループに陥ったシステムは、再起動されるたびにSVCHOST.EXEがクラッシュし、60秒後にシステムの再起動を開始します。修正プログラムが適用される前にウイルスを削除すると、この動きが引き続き見られることがあります。 ■駆除ツール・参考資料 03/08/15 このウイルスの検索、駆除にStingerを発行しました 駆除ツールへ 03/08/15 ご法人のウイルス対策担当者様に社内対策用の手順マニュアルをご用意しました 詳細はこちら 03/08/21 （更新） Snifferフィルタ（Sniffer Portable 4.7/4.7.5）を公開しました ダウンロードはこちら (ZIPファイル) 03/08/21 （更新） Snifferフィルタ（Sniffer Distributed4.1用/4.2用）を公開しました ダウンロードはこちら (ZIPファイル) 03/08/14 企業向けLovsan予防対策を説明したドキュメントを公開しました ダウンロードはこちら (Wordファイル) 03/08/14 簡易対処方法を説明したPDFファイルを作成しました。 ダウンロードはこちら (PDFファイル) ■手動による駆除方法 手動により、このウイルスを駆除する場合は以下の方法をとってください。 マイクロソフト修正プログラムMS03-026を適用する。 実行中のmsblast.exeを終了する。（終了の仕方はこちら） システムのWINDOWS SYSTEM32ディレクトリ（多くはc:\windows\system32かc:\winnt\system32) からmsblast.exeファイルを削除する。 レジストリを編集する。 "windows auto update"という値を HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run から削除する。 検出と駆除には定義ファイル4284をお使いください。定義ファイル4283を使うとExploit-DcomRpcの亜種として検出されます。感染したシステムはウイルスを駆除する前に修正プログラムを適用してください。（下記参照） システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 Windows ME/XPでの駆除についての補足 （ 本ウイルスはWindows MEには影響を与えません）