米Symantec、WindowsからCドライブを隠すウイルス「Gruel」を警告

■URL
http://securityresponse.symantec.com/avcenter/venc/data/w32.gruel@mm.html

　米Symantecは14日、Microsoftからの緊急アップデートメールを装い、感染するとWindowsからCドライブを見えなくしてしまうウイルス「W32.Gruel@mm」を警告した。危険度は2で、感染力、ダメージともに「高」としている。

　Gruelは、Outlookのアドレス帳や、ファイル交換ソフト経由で感染活動を行なう。ウイルスを媒介するメールは、件名が「Microsoft Windows Critical Update.」、添付ファイルが「Windows Critical Update 088562.exe」となっている。

　感染すると、Autoexec.batやConfig.sys、またシステムフォルダ内の「.dll」「.exe」「.ocx」「.com」ファイルを削除する。それから自身を隠しファイル「Rundll32.exe」としてCドライブにコピーするほか、Kazaaの共有フォルダに「Windows XP KeyGen 2.5.exe」としてコピーする。

　次にレジストリ情報を以下のように書き換える。これにより、各種ファイルが起動するたびにウイルスが呼び出されることになる。

<filename of worm> %1
HKEY_CLASSES_ROOT\exefile\shell\open\command
HKEY_CLASSES_ROOT\comfile\shell\open\command
HKEY_CLASSES_ROOT\batfile\shell\open\command
HKEY_CLASSES_ROOT\piffile\shell\open\command
HKEY_CLASSES_ROOT\htafile\shell\open\command
HKEY_CLASSES_ROOT\htfile\shell\open\command

さらに、レジストリを以下のように書き換える。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"MediaPath"="C:\Proyecto1.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
"Rundll32.exe"="C:\Rundll32.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEX
"DevicePath" ="C:\Proyecto1.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SETUP
"NetCache"="C:\Proyecto1.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
"ProxyDevice"="C:\Proyecto1.exe"

HKEY_CURRENT_USER\Software\kIlLeRgUaTe 1.03

　最後に「エラーが発生しました。Microsoftにエラーを通知しますか」というメッセージが表示される。「Send Error」を選んだ場合、偽のエラーログが表示される。メッセージをキャンセルした場合、再度メッセージが表示される。「Send and Close」を選んだ場合、複数のコントロールパネルが表示され、CD-ROMドライブが開き、ウイルス作者からのメッセージが表示される。このメッセージは動かしたり消したりすることができない。そのほか、システムトレイやタスクバーが使えなくなり、Cドライブが隠蔽される。また、ユーザーの設定したパスワードをランダムに変更する。

　万が一感染してしまった場合には、Windowsが起動できない可能性が高いため、OSのクリーンインストールを行なう必要がある。起動できる場合は、Windows XP/Meではシステムのレストア機能を切り、最新のウイルス定義ファイルを使ってスキャンし、W32.Gruel@mmとして検出されたファイルを削除する必要がある。

(2003/7/15)

[Reported by okada-d@impress.co.jp]