トレンドマイクロ、Cドライブを隠蔽するウイルス「GRUEL」亜種を警告

■URL
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_GRUEL.D
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_GRUEL.E
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_GRUEL.H

　トレンドマイクロは、システムファイルを削除したりCドライブを非表示にしてしまうウイルス「GRUEL」の亜種「GRUEL.D」「GRUEL.E」「GRUEL.H」を警告した。GRUELは、メールの添付ファイルやKazaaなどのファイル共有ソフトを経由して感染する。危険度は「低」となっているものの、感染力とダメージ度は「高」となっている。

　GRUELの亜種は、以下のようなサブジェクトと添付ファイルがあるメール、またはKazaaの共有ファイルで感染活動を行なう。

　ウイルスが実行されると、Cドライブのルートディレクトリに、GRUEL.Dは「Proyecto1.exe」、EとHは「root.exe」として自身をコピー。レジストリを改変し、Windows起動時に自動実行されるようにするほか、「.exe」「.com」「.pif」「.bat」「.ht」「.hta」ファイルが実行されるたびにウイルスを実行するようにする。さらに「kIlLeRgUaTe 1.03」という名前のシェルフォルダをデスクトップ上に作成し、これがダブルクリックされた場合にもウイルスが実行される。

　また、Internet Explorerのタイトルバーを「kIlLeRgUaTe 1.03, I mAke ThIs vIrUs BeCaUsE I dOn'T hAvE NoThInG tO dO!!」という文字列に変更したり、「検索」機能と「ファイル名を指定して実行」機能を非表示にする。このほか、Cドライブを非表示またはアクセス不可にしてしまう。さらに、Autoexec.batやConfig.sys、システムフォルダ内の「.dll」「.exe」「.ocx」「.com」ファイルを削除し、システムフォルダそのものも削除しようとする。

　万が一感染してしまった場合、PCが起動しないようなら再インストールを行なう。PCが起動する場合、PCをSafeモードで起動し、他のPCまたはWindowsインストールCDからRegedit.exeをデスクトップにコピーし実行する。それから改変されたレジストリ情報を修正し、ウイルスによって削除されたファイルをオリジナルからコピーする。最後に、最新のウイルス定義ファイルを使ってスキャンし、「GRUEL」として検出されたファイルを全て削除する。

◎関連記事
■米Symantec、WindowsからCドライブを隠すウイルス「Gruel」を警告

(2003/7/28)

[Reported by okada-d@impress.co.jp]