リムーバブルメディアに注意、「USBウイルス」が3カ月連続“トップ”

日経パソコン PConline 2008年5月9日にタイトルの記事が載った。
どういう方法で感染するのか知りたくてネットを検索した。

• USBメモリウイルスが増加、先祖返りする感染手法　（アットマーク・アイティ 2007/07/03）
  1. IPAには6月、「USBメモリをPCに挿したとたん、ウイルス対策ソフトがウイルスを検知した」との相談が多く寄せられたという。
  2. USBメモリに感染するウイルスは、外部メモリを検索し、自分自身をコピーし、自動実行ファイル（Autorun.inf）を作成する「W32/SillyFD-AA」「W32/LiarVB-A」がある。
  3. Windows XP/2000ではUSBメモリを挿しただけではAutorun.infが自動実行することはないが、「マイコンピュータ」からUSBメモリを認識したドライブをダブルクリックすると、ウイルスを含む実行ファイルが起動してしまう。
  4. 対策の基本は出所不明のUSBメモリをPCに挿さないこと。
  5. IPAはダブルクリックする前にウイルス対策ソフトウェアでチェックしたり、WindowsエクスプローラでUSBメモリ内のファイルを確認することを勧めている。
• USBウイルス：何でも感染源に　（ITpro）
  1. ウイルスに感染したパソコンにUSBメモリーを挿入すると、自分自身をコピー。
  2. コピーされたウイルスは“眠っている”状態。そのUSBメモリーを別のパソコンに挿入してウイルスを実行などすると、動き出して感染。
  3. そのパソコンに接続されている別のUSB機器にも感染を広げようとする。
• 他人の USB メモリを挿す時は Shift キーを押しっぱなしにする（ウイルス感染対策）
  • 他の人からUSBメモリを借りて自分のPCに挿したとのこと。その時はUSBメモリが変な動きをしたらしい。多分、感染経路はそこっぽい。
  • そのUSBメモリを自分のPCに挿してウイルススキャンをかけたら、ルートディレクトリに「SXS.EXE」と「autorun.inf」というファイルが存在していた。同時に「sxs.exe」がワーム（ヒント参照）であることも検出された。

ヒント

1. ワーム： worm．ウイルスのように他のプログラムに依存しない自己増殖を繰り返しながら破壊活動を行なうプログラム。
2. 発見されたワームは、WORM_QQPASS.ADH。トレンドマイクロによれば、
   • 影響を受けるソフトウェア：
     　Windows 98, ME, NT, 2000, XP, Server 2003
   • 動作：
     • システムに自身をインストール
     • ワーム活動（リムーバブルドライブにコピーを作成）
     • プロセスの強制終了
     • レジストリの削除 ‥‥ 一例として、ウィルススキャンを停止させるようだ。
     • 情報漏洩
       • "QQ Messenger" でのチャット内容を監視
       • ユーザ名、パスワードを収集
     • 侵入方法：
       　リムーバブルドライブを介して侵入
     • 感染確認方法：
       • Windowsシステムフォルダ内に以下のファイルを作成
         • WINSCOK.DLL
         • SVOHOST.EXE
       • リムーバブルドライブ内に以下のファイルを作成
         • SXS.EXE
   • ワーム活動（リムーバブルドライブにコピーを作成）：
     　このワームは、USBフラッシュメモリ等のリムーバブルドライブを利用して感染活動を行います。ワームは、これらのドライブ内に以下のファイルを作成します。
     • SXS.EXE - ワームのコピー
     • AUTORUN.INF - 無害なファイル
       　上記の "AUTORUN.INF" というファイルは、ワームのコピーを自動実行する無害なシステムファイルです。このファイルには以下の文字列が含まれています。
       1. [AutoRun]
       2. open = sxs.exe
       3. shellexecute= sxs.exe
       4. shell\Auto\command=sxs.exe
   • プロセスの強制終了：
     　このワームは、以下のプロセスを強制終了します。プロセスの大部分はアンチウイルスおよびセキュリティ関連のものです。（以下、省略）

---

1. このウィルス(ワーム)に感染していると、マイコンピュータからリムーバブルディスクをダブルクリックで開くと活動を開始するようだ。
2. パソコン同好会では、ノートパソコンを持っていない方は USBメモリーを使っている。上記のサイトに載っていることを同好会時に行ってみようか、どうしようか．．．
   まずは、
   • 自分のパソコンのウィルス感染チェック
     • 小一時間は掛かる。さわりだけでもやるかなぁ‥‥
     • 参考）オンラインウイルススキャンサイト一覧
   • 隠しファイルの表示
   • USBメモリーをエクスプローラで開く