発見日: August 18, 2003
更新日: February 13, 2007 12:12:17 PM
別名: W32/Welchia.worm10240 [AhnLab], W32/Nachi.worm [McAfee], WORM_MSBLAST.D [Trend], Lovsan.D [F-Secure], W32/Nachi-A [Sophos], Win32.Nachi.A [CA], Worm.Win32.Welchia [Kaspersky]
種別: Worm
感染サイズ: 10,240バイト
影響を受けるシステム: Microsoft IIS, Windows
CVE 識別番号: CAN-2003-0109 CAN-2003-0352



Symantec Security Response は、W32.Welchia.Worm の感染を除去する駆除ツールを開発しました。

お知らせ: 初心者ユーザーの方は、FixWelch.exe を使用してW32.Welchia.Wormを駆除する方法 をご覧頂くことで、W32.Welchia.Worm の駆除をより簡単に行うことができます。また、印刷用の駆除手順書(PDFファイル)を用意しました。

印刷用の駆除手順書(PDFファイル):

  • Windows XP をお使いの方は、こちらからダウンロードしてください。
  • Windows 2000 をお使いの方は、こちらからダウンロードしてください。


お客様からの報告件数の増加を受け、Symantec Security Response は2003年8月18日18:00(米国時間)、W32.Welchia.Wormの危険度を3から4に引き上げました。

W32.Welchia.Wormは次の2つの脆弱性を悪用するワームです。



W32.Welchia.Worm は、次のことを行います。
  • マイクロソフトのWindows Update WebサイトからDCOM RPC用の修正パッチをダウンロードしてインストールし、その後、コンピュータを再起動しようとします。
  • ICMPエコーまたはPINGを送信することによって、現在動作中のコンピュータを探して感染するため、このワームの動作中はICMPトラフィックが増大します。
  • W32.Blaster.Wormを削除しようとします。

ウイルス対策日

  • Rapid Release 初回バージョン August 18, 2003
  • Rapid Release 最新バージョン March 23, 2017 リビジョン 037
  • Daily Certified 初回バージョン August 18, 2003
  • Daily Certified 最新バージョン March 23, 2017 リビジョン 041
  • Weekly Certified 初回リリース日 August 18, 2003

Click here for a more detailed description of Rapid Release and Daily Certified virus definitions.

記述: Frederic Perriot

発見日: August 18, 2003
更新日: February 13, 2007 12:12:17 PM
別名: W32/Welchia.worm10240 [AhnLab], W32/Nachi.worm [McAfee], WORM_MSBLAST.D [Trend], Lovsan.D [F-Secure], W32/Nachi-A [Sophos], Win32.Nachi.A [CA], Worm.Win32.Welchia [Kaspersky]
種別: Worm
感染サイズ: 10,240バイト
影響を受けるシステム: Microsoft IIS, Windows
CVE 識別番号: CAN-2003-0109 CAN-2003-0352


W32.Welchia.Wormが実行されると、次のことを行います。

    1. 自分自身を次のファイルとしてコピーします。

    %System%\Wins\Dllhost.exe

    注意:
    %System%は可変です。このワームはシステムフォルダを探し出し、その場所に自分自身をコピーします。このフォルダは、標準ではC:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000)またはC:\Windows\System32 (Windows XP)です。

    2. %System%\Dllcache\Tftpd.exeのコピーを%System%\Wins\svchost.exeとして作成します。

    注意:
    Svchost.exeは正規のプログラムです。このプログラムは無害のため、シマンテックのウイルス対策製品では検出されません。

    3. 次の値

    RpcPatch



    RpcTftpd

    を 次のレジストリーキーに追加します。

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

    4. 次のサービスを作成します。

    サービス名:
    RpcTftpd
    サービス表示名:
    Network Connections Sharing
    サービスバイナリ:
    %System%\wins\svchost.exe

    このサービスは手動で起動するように設定されます。

    サービス名:
    RpcPatch
    サービス表示名:
    WINS Client
    サービスバイナリ:
    %System%\wins\dllhost.exe

    このサービスは自動的に起動するように設定されます。

    5. Msblastというサービスを停止し、W32.Blaster.Wormによって投下される%System%\msblast.exeというファイルを削除します。

    6. ワームは感染対象のIPアドレスを2通りの方法で選択します。1つは、感染先コンピュータのIPアドレスをA.B.C.Dとし、A.B.0.0から順に1ずつ増分したIPアドレスを選択してゆく方法で、もう1つはハードコード化された状態でワームに保存されているアドレスに基づいてランダムなIPアドレスを生成します。最初のアドレスの選択後は、Class Cサイズのネットワークの範囲に渡るアドレスを生成します(例えば、最初のアドレスがA.B.0.0の場合、少なくともA.B.255.255まで増分してゆきます)。

    7. 上記で生成したIPアドレスを持つコンピュータにICMPエコーまたはPINGを送信し、そのコンピュータがネットワーク上で動作中かどうかを確認します。

    8. ネットワーク上で動作中のコンピュータを発見すると、TCPポート135にDCOM RPCの脆弱性を悪用するデータを送信するか、あるいは、TCPポート80にWebDavの脆弱性を悪用するデータを送信します。

    9. ポート番号666~765からランダムに選択したTCPポートを使って、攻撃側のコンピュータに接続し命令を受信するリモートシェルを脆弱なホスト上に作成します。

    10. 攻撃側のコンピュータ上でTFTPサーバーを起動し、標的側のコンピュータに対し、攻撃側のコンピュータからDllhost.exeおよびSvchost.exeをダウンロードするよう命令します。ただし、%System%\dllcache\tftpd.exeというファイルが存在する場合、ワームはsvchost.exeをダウンロードしません。

    11. コンピュータのOSバージョン、サービスパックの番号、システムロケールを調べ、マイクロソフトのWindows Updateサイトに接続し、そのコンピュータのOSバージョンに適切なDCOM RPC脆弱性用の修正パッチをダウンロードしようとします。

    12. アップデートのダウンロードと実行が終わると、ワームはコンピュータを再起動することで修正パッチのインストールを完了します。

    13. コンピュータのシステムの日付を調べ、年の値が2004の場合、自分自身を無効化し削除します。


Norton Internet Security / Norton Internet Security Professional
2003年8月20日:Symantec は、W32.Welchia.Wormの活動を検出するIDSシグネチャをLiveUpdateを通じてリリースしました。

Symantec Client Security
2003年8月20日:Symantec は、W32.Welchia.Wormの活動を検出するIDSシグネチャをLiveUpdateを通じてリリースしました。

Symantec Gateway Security

  • 2003年8月18日:Symantec は、Symantec Gateway Security 1.0用のアップデートをリリースしました。
  • シマンテックのフル・アプリケーション・インスペクション方式のファイアウォール技術は、このマイクロソフトの脆弱性に対応しており、標準では、上記のすべてのTCPポートを遮断するよう設定されています。第三世代のフル・アプリケーション・インスペクション技術が、HTTPチャネルを介してトンネリングするDCOMトラフィックを感知・ブロックすることで、多くのネットワーク・フィルタリング・ファイアウォールでは実現出来ていない一段階上の防御レイヤを提供します。

Symantec Host IDS
2003年8月19日:Symantec は、Symantec Host IDS 4.1用のアップデートをリリースしました。

推奨する感染予防策

Symantec Security Response encourages all users and administrators to adhere to the following basic security "best practices":

  • Use a firewall to block all incoming connections from the Internet to services that should not be publicly available. By default, you should deny all incoming connections and only allow services you explicitly want to offer to the outside world.
  • Enforce a password policy. Complex passwords make it difficult to crack password files on compromised computers. This helps to prevent or limit damage when a computer is compromised.
  • Ensure that programs and users of the computer use the lowest level of privileges necessary to complete a task. When prompted for a root or UAC password, ensure that the program asking for administration-level access is a legitimate application.
  • Disable AutoPlay to prevent the automatic launching of executable files on network and removable drives, and disconnect the drives when not required. If write access is not required, enable read-only mode if the option is available.
  • Turn off file sharing if not needed. If file sharing is required, use ACLs and password protection to limit access. Disable anonymous access to shared folders. Grant access only to user accounts with strong passwords to folders that must be shared.
  • Turn off and remove unnecessary services. By default, many operating systems install auxiliary services that are not critical. These services are avenues of attack. If they are removed, threats have less avenues of attack.
  • If a threat exploits one or more network services, disable, or block access to, those services until a patch is applied.
  • Always keep your patch levels up-to-date, especially on computers that host public services and are accessible through the firewall, such as HTTP, FTP, mail, and DNS services.
  • Configure your email server to block or remove email that contains file attachments that are commonly used to spread threats, such as .vbs, .bat, .exe, .pif and .scr files.
  • Isolate compromised computers quickly to prevent threats from spreading further. Perform a forensic analysis and restore the computers using trusted media.
  • Train employees not to open attachments unless they are expecting them. Also, do not execute software that is downloaded from the Internet unless it has been scanned for viruses. Simply visiting a compromised Web site can cause infection if certain browser vulnerabilities are not patched.
  • If Bluetooth is not required for mobile devices, it should be turned off. If you require its use, ensure that the device's visibility is set to "Hidden" so that it cannot be scanned by other Bluetooth devices. If device pairing must be used, ensure that all devices are set to "Unauthorized", requiring authorization for each connection request. Do not accept applications that are unsigned or sent from unknown sources.
  • For further information on the terms used in this document, please refer to the Security Response glossary.

記述: Frederic Perriot

発見日: August 18, 2003
更新日: February 13, 2007 12:12:17 PM
別名: W32/Welchia.worm10240 [AhnLab], W32/Nachi.worm [McAfee], WORM_MSBLAST.D [Trend], Lovsan.D [F-Secure], W32/Nachi-A [Sophos], Win32.Nachi.A [CA], Worm.Win32.Welchia [Kaspersky]
種別: Worm
感染サイズ: 10,240バイト
影響を受けるシステム: Microsoft IIS, Windows
CVE 識別番号: CAN-2003-0109 CAN-2003-0352


W32.Welchia.Worm 駆除ツールを使った方法
Symantec Security Responseは、W32.Welchia.Worm 専用の
駆除ツール を開発しました。このリスクを最も容易に駆除する方法は、このツールを実行することです。

手動による駆除

駆除ツールの代替方法として、このリスクを手動でも駆除することができます。以下の手順は、Symantec AntiVirusおよびNorton AntiVirus製品シリーズも含め、現在サポート対象となっているすべてのシマンテック・アンチウイルス製品のお客様を対象にして記述されています。

    1. システムの復元機能を無効にします(Windows XPの場合)。
    2. ウイルス定義を最新版に更新します。
    3. コンピュータを再起動するか、またはワームのプロセスを停止します。
    4. システム全体のスキャンを実行し、W32.Welchia.Wormとして検出されたファイルをすべて削除します。
    5. レジストリから値を削除します。
    6. Svchost.exeファイルを削除します。

具体的な手順については、以下のセクションをご覧ください。

1. システムの復元オプションを無効にする (Windows XP)

Windows Me/XP をお使いの場合は、駆除作業を行う前にシステムの復元オプションを一時的にオフにしてください。システムの復元機能は、Windows Me/XP の機能の一つで、標準では有効に設定されています。この機能は、Windows がコンピュータ上のファイルが破損した場合にそれらを自動的に復元するために使用されます。コンピュータがウイルス、ワーム、またはトロイの木馬に感染した場合、ウイルス、ワーム、またはトロイの木馬のバックアップファイルが _RESTORE フォルダ内に作成されている可能性があります。

Windows は、ウイルス対策プログラムのような外部プログラムによるシステムの復元機能の改変を防止するように設定されています。この理由により、ウイルス対策プログラムおよび駆除ツールでは _RESTORE フォルダ内に保存されている感染ファイルを削除することはできません。その結果、他のあらゆる場所から感染ファイルを削除した後でも、感染したファイルが誤って復元される可能性があります。

また、ウイルス対策プログラムでコンピュータをスキャンしたときに感染ファイルが検出されなかった場合でも、オンラインスキャンの実行時に Restore フォルダ内のリスクが検出されることがあります。

システムの復元機能を無効にする方法については、Windows のマニュアルか、あるいは下記のドキュメントをご覧ください。

注意: 駆除作業が完全に終わり、リスクが駆除されたことを確認した時点で、上記のドキュメントに記載の手順を実行することでシステムの復元機能を有効な状態に戻してください。


システムの復元機能についての詳細および別の無効化方法については、
Microsoft Knowledge Base article :_RESTORE フォルダ にウィルスが発見された場合の対応方法について ID: Q263455 をご覧ください。


2. ウイルス定義を更新する
ウイルス定義を最新版に更新します。最新版のウイルス定義は次の2通りの方法で入手することができます。
  • LiveUpdate を実行する方法:
    シマンテックの LiveUpdate サーバーにクライアントやサーバーからアクセスし、ウイルス定義ファイルをダウンロードして自動的に更新を行います。LiveUpdate では、最後に LiveUpdate を実行した後に追加・更新された情報のみがダウンロードされます。このため、ダウンロード時のネットワークトラフィックを最小限に抑える事ができます。

    LiveUpdate のウイルス定義は、通常は毎週木曜日に定期的に LiveUpdate サーバーにアップロードされます。また、危険度の高いウイルスが発見された場合にも、緊急対応として LiveUpdate サーバーにアップロードされる場合があります。

    このウイルスへの対応は、ページ上部に記載の「
    対応日(LiveUpdate)」欄の日付をご覧ください。
  • Intelligent Updater を使用してウイルス定義をダウンロードする方法:
    Intelligent Updater は、.シマンテックの Web サイトや FTP サイトで提供されています。ダウンロードしたプログラムを実行することで、そのコンピュータ上のウイルス定義ファイルを最新版に更新することができます。

    Intelligent Updater 形式のウイルス定義ファイルは、米国時間の平日 (日本時間の火曜日~土曜日) に毎日アップロードされています。Intelligent Updater 形式のウイルス定義は LiveUpdate よりも早いタイミングでアップロードされますが、ベータリリースという位置付けではなく、アップロード前に完全な品質保証テストが行われています。

    このウイルスへの対応は、ページ上部に記載の「
    対応日(Intelligent Updater)」欄の日付をご覧ください。

    注意: Intelligent Updater は、ウイルス定義とスキャンエンジンの完全版をインストールするプログラムです。このため、前回からの差分のみをダウンロードする LiveUpdate に比べると、ダウンロードサイズが非常に大きな容量となります。このため、LiveUpdate で定期的にウイルス定義の更新を行い、疑わしいファイルからウイルスを検知出来ない場合などに、Intelligent Updater でウイルス定義を更新する事をお薦めします。


    Intelligent Updater のウイルス定義は、こちら からダウンロードすることができます。ダウンロード、インストールする方法に関しては、こちら をご参照ください。

3. セーフモードで再起動する/動作中のプロセスを終了させる
    Windows 95/98/Me
    コンピュータをセーフモードで再起動します。Windows NT以外のすべてのWindows 32-ビットOSはセーフモードで再起動することができます。具体的な手順については、
    Windows 9x または Windows Me をセーフモードで起動する方法をご覧ください。

    Windows NT/2000/XP
    ワームのプロセスを停止するには:
      a. [コントロールパネル]にある[管理ツール]をクリックし、[サービス]を開きます。
      b. 画面右側のリストをスクロールし、次の名前のサービスを探します。
          • Network Connections Sharing
          • WINS Client
      c. 上記サービスを見つけた場合、名前を選択後、右クリックし、「停止」をクリックします。
      d. [サービス]を閉じます。 

4. 感染ファイルを探して削除する

5. レジストリから値を削除する

注意:
システムレジストリに変更を行なう際には、事前にバックアップを作成することを強くお勧めします。レジストリに不適切な変更を行なうと、データの喪失やファイルの破損など修復不可能な問題が生じる可能性があります。指定されたキーのみを修正するよう注意してください。レジストリの編集作業を始める前に必ず「レジストリのバックアップ方法」をお読みください。

    a. [スタート]ボタンを押し、[ファイル名を指定して実行]をクリックします。([ファイル名を指定して実行]ダイアログボックスが表示されます。)

    b. regeditと入力します。

    [OK]をクリックします。(レジストリ エディタが開きます。)

    c. 次のレジストリキーを選択します。

    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

    d. 次のサブ・キーを削除します。

    RpcPatch



    RpcTftpd

    e. レジストリエディタを終了します。

6. Svchost.exeファイルを削除する
%System%\Winsフォルダを探して選択し、Svchost.exeファイルを削除してください。

改変履歴(米国時間):

  • 2003年8月26日:
    • 手動による駆除の手順を更新しました。
  • 2003年8月20日:
    • レジストリ値の削除方法を追加しました。
    • SCS IDS シグネチャのリリース情報を掲載しました。
    • NIS/NIS Pro IDS シグネチャのリリース情報を掲載しました。
    • ワームの別名を追加しました。
  • 2003年8月19日:
    • Symantec ManHuntの情報を掲載しました

記述: Frederic Perriot