USBメモリに「q83iwmgf.bat」「autorun.inf」が一瞬現れて消えるウィルスに注意（追加：8e9gmih.bat、o0s.cmd）／kavo・mmvoの駆除・予防・復旧

※08.09.22（月）07:24追記：
関連記事を掲載しました：
USBメモリ/autorun型ウィルス（kavo/revo/mmvo/i2p.bat/uu.exeなど）に感染したPCはリストア（OSの再インストール）せずに復旧します！

※08.05.09（金）21:00追記：
くる太郎さんよりメールをいただき、ご自身による詳細なウィルス分析の記事をご紹介いただきました。次のリンクを是非ご覧ください。
　→mmvo.exeとの格闘－まとめ
執念深く分析し駆除するだけでなく、同様に困っている方のためにその過程を公開なさっています。くる太郎さんに敬意を表し、冒頭に追記します。（追記ここまで）

USBメモリをPCに接続したとき、「q83iwmgf.bat」「autorun.inf」が一瞬現れて消えたらウィルスに感染しているかもしれないので要注意だ。このウィルスはUSBメモリを介して感染が拡大する（Web経由でも感染する）。

先日このウィルスにやられた。ファイル削除など直接的な危害をもたらすウィルスではなかったが、手動駆除に相当の時間を取られた。

USBメモリを接続した瞬間、「q83iwmgf.bat」という不審なファイルが現れたので即座にテキスト･エディタで捕獲した。このファイルを見ていると、次の瞬間にはこのファイルが消え、今度は「autorun.inf」が現れた。こちらは捕獲に失敗し、すぐ消えてしまった。ショックだったのはこのウィルスをavast!が検出してくれなかったことだ。この瞬間に気づかなかったらウィルス感染に気づかないままだった可能性が高い。

●症状：
・USBメモリをPCに接続したとき、「q83iwmgf.bat」「autorun.inf」が一瞬現れて消える。
・「ファイルとフォルダの表示」を「すべてのファイルとフォルダを表示する」に設定しても勝手に「隠しファイルおよび隠しフォルダを表示しない」に戻ってしまう。
・オンラインゲームのパスワードを盗むらしい（08.02.18(月)01:33追記：シマンテックのサイトに「各種のオンラインゲームのパスワードを盗み取ります」とあった）。
・感染したドライブが開かなくなる（08.03.19（水）11:30追記）
※参考：
・Trojan-PSW.Win32.OnLineGames.qwz（Viruslist.com）（英語サイト）
・http://pan0t.wordpress.com/2008/02/13/q83iwmgfbat/（英語サイト）

●手動駆除：
・セーフモードにして関連ファイルと関連レジストリを削除することで駆除できる。詳細は下記の参考サイトにあるが、私の場合は下記の方法だけでは駆除できなかった。私の場合は下記を参考に、さらに関連ファイルを探し出して削除した。反響があれば具体的な手順を整理してこの記事に追記したい。

※参考：
・WORM_ONLINEG.TCZ - 概　要（トレンドマイクロ）（英語のみ）
・コンピュータ・ウィルスとの戦い －いまそこにある危機－ その１（ひとり親方のみかた）
・コンピュータ・ウィルスとの戦い －いまそこにある危機－ その２（ひとり親方のみかた）
・mmvo.exe kavo.exe 関連で困っている方 －ウィルス退治まで（まとめ）－（ひとり親方のみかた）

※08.02.17（日）07:57追記：
USBメモリでなくとも、接続する物理ドライブ全てに感染するので、外付けHDDなどの接続にも注意が必要だ。

※08.02.18（月）01:33追記：
シマンテックでは「W32.Gammima.AG」と定義されている。シマンテックの駆除手順は上記のどのサイト役に立つと思う。このウィルスは「kavoウイルス」とも呼ばれているようだ（参考：kavo ウィルス感染・駆除体験記）。このウィルス、現在 avast! では検出できない（他のウイルスソフトでも検出しないものがあるようだ）。これについては avast! にメールで問い合わせ中。トレンドマイクロのサイト（USB接続機器を介して拡散するウイルスの被害報告が急増）に「リムーバブルドライブのルートフォルダに予め「Autorun.inf」フォルダを作成しておく」という予防方法が書いてあったが、現時点では一番現実的な対策だと思う。私は早速、手持ちのメディア全てのトップに「autorun.inf」フォルダを作成した。また、トレンドマイクロのサイトには書いていなかったが、手動駆除の体験から考えて、PCのローカルドライブ全てのトップにも「autorun.inf」フォルダを作成した。これで一時しのぎにはなるが、早急な根本対策が必要だと思う。

※08.0.18（月）23:55追記：
この記事に対し、それなりに反響があった。感染ファイル名からキーワード検索でやってくる方も多い。これらを考慮し、ここ数日の手動駆除で得られた知見から kavo.exe の簡易的な手動駆除・予防方法を下記に整理しておく：

---

下記はUSBメモリを介して感染が拡大するウィルス kavo.exe を簡易的に手動駆除・予防する方法です。一部の大手ウィルス対策ソフトが検出しないため、止む無く緊急に作成したものです。

この説明は利用者の利便を考えて作成したものであり、完全な効果を保証するものではありません。この説明によって生じるいかなる損害に対しても、当方はその責を負いません。あくまでも自己責任でご利用下さい。

私がこの数日に数十回の手動駆除を行った結果から、効果のあった手順をまとめたものです。効果の出るケースも出ないないケースもあり得ます。特に、感染ファイル名は新手が出たらその都度対応を変えなければなりません。ウィルスの亜種が出た場合などはこの手順では恒久的な効果が保証されません。ご了承下さい。

手動駆除に入る前に、本当にkavo.exeに感染しているか、下記手順で確認して下さい。

フォルダのメニューから＞ツール＞フォルダオプション＞表示＞ファイルとフォルダの表示
を表示し、「すべてのファイルとフォルダを表示する」を選択し、OKを押します。

再度、同じ操作で「ファイルとフォルダの表示」の設定を確認してください。
「すべてのファイルとフォルダを表示する」のままであればkavo.exeには感染してないと思われます。
いつの間にか「隠しファイルおよび書くし隠しフォルダを表示しない」に変わっていたら、kavo.exeに感染していると思われます。

以下、kavo.exeに感染したファイルをPCから手動駆除する手順です。

まず最初に「7z 形式」という圧縮・解凍ソフトを下記からダウンロードしてください。
　http://www.7-zip.org/ja/7z.html

※08.09.29（月）03:51追記：
　7zの日本語版は9月からアクセスできない状態が続いているようです（原因不明）。現時点では下記から英語版がダウンロードできます。
・http://www.7-zip.org/
（追記終わり）

7z は高圧縮率を誇る新しい書庫形式です。このソフトは隠しファイルを確認する目的で使用します。
kavo.exeはファイル表示の設定を変更してしまうため、通常の方法では隠しファイルを確認することができないからです。

ダウンロードしたら、7zをインストールしてください。

この説明は事前に印刷して参照できるようにしておいてください。

ここまで準備ができたら、下記手順で msconfig を起動します。

スタート＞ファイル名を指定して実行＞msconfig＞OK

mscofig が起動したら、下記手順でセーフモードで再起動します。

BOOT.INI＞/SAFEBOOT（F)にチェック＞OK＞再起動

再起動したらセーフモードで作業を続けるか確認する画面が出ますので「はい（Y）」を押してください。

この状態で「7z 形式」を起動してください。

下記のファイルがないか探し出し全て削除してください：

C:\autorun.inf
C:\q83iwmgf.bat
C:\8e9gmih.bat
C:\Windows\Prefetch\Q83IWMGF.BAT-"*".pf
C:\Windows\Prefetch\8E9GMIH.BAT-"*".pf

"%System%\kava.exe"
"%System%\kavo.exe"
"%System%\kavo0.dll"
"%System%\kavo1.dll"
"%System%\kavo2.dll"
"%System%\mmvo0.dll"
"%System%\mmvo1.dll"

ここではシステム起動ドライブをC:としています。異なっている場合は適宜読み替えてください。

"*" には "18CFD98E"、"2771A1FE" などの文字列が入ります。

OSによってこれ以外のフォルダの場合もあります。適宜読み替えてください。

"%System%" はシステムフォルダーですOSにより異なりますが通常は下記のようになります。
　C:\Windows\System（Windows 98 と ME）
　C:\WINNT\System32（Windows NT と 2000）
　C:\Windows\System32（Windows XP と Server 2003）

これらのファイル以外のファイル名が新たに生成される可能性もありますが、全ては把握していません。

各自の判断であやしいファイルがあれば削除してください。作成日やファイル名から推測できます。ただし、必要なシステムファイルを削除した場合、システムが起動しなくなるなど深刻な事態となる危険があります。あくまで自己責任で慎重に作業してください。

さて、これで感染ファイルは除去されたはずです。

次に、下記手順でレジストリエディタを起動し、レジストリの編集を行います。
レジストリの編集では、操作を誤ると最悪の場合はシステムが起動しなくなる危険性があります。十分な知識と経験がない場合、下記の作業は絶対にやらないでください。

スタート＞ファイル名を指定して実行＞regedit＞OK

下記のレジストリを削除してください：

HKEY_CURRENT_USER＞Software＞Microsoft＞Windows＞CurrentVersion＞Run＞kava = "%System%\kavo.exe"

"%System%" はシステムフォルダーですOSにより異なりますが通常は下記のようになります。
　C:\Windows\System（Windows 98 と ME）
　C:\WINNT\System32（Windows NT と 2000）
　C:\Windows\System32（Windows XP と Server 2003）

下記の3個のレジストリの値を全て「1」に変更してください：

HKEY_CURRENT_USER＞Software＞Microsoft＞Windows＞CurrentVersion＞Explorer＞Advanced＞Hidden

HKEY_CURRENT_USER＞Software＞Microsoft＞Windows＞CurrentVersion＞Explorer＞Advanced＞ShowSuperHidden

HKEY_LOCAL_MACHINE＞SOFTWARE＞Microsoft＞Windows＞CurrentVersion＞Explorer＞Advanced＞Folder＞Hidden＞SHOWALL＞CheckedValue

これでレジストリの編集は終わりです。レジストリエディタを閉じてください。

下記手順で msconfig を起動し、通常モードで再起動します。

スタート＞ファイル名を指定して実行＞msconfig＞OK

mscofig が起動したら、下記手順でセーフモードを外して再起動します。

BOOT.INI＞/SAFEBOOT（F)のチェックを外す＞OK＞再起動

再起動すると「システム構成ユーティリティ」画面が表示されます。
「Windows の開始時にこのメッセージを表示しない、またはシステム構成ユーティリティを起動しない」にチェックを入れて「OK」を押してください。

エクスプローラーを起動し、冒頭の感染確認の手順で感染していないか確認してください。

フォルダの表示が「すべてのファイルとフォルダを表示する」になっていれば、手動駆除は終了です。

簡易的な感染予防措置、感染したUSBメモリの復旧方法についても手順を確立しています。反響を見てこの記事に追記するかもしれません。

以上が簡易的な手動駆除の手順です。

---

なお、本件については昨日（08.02.17）の午前 avast! のサポートに問い合わせをしたところ、夜になって捕獲したサンプルを送って欲しいとの要望があり、先ほどまとめて送っておいた（現在 avast! のサポートは英語のみ！）。もしかしたら速やかにパターンアップが行われるかもしれない。対応があったらすぐにこの記事に追記してご報告したいと思う。

上記手順についてのコメント・ご質問などはメール t-naka@techpr.jpもしくはこちらからどうぞ。

※08.02.19（火）01:00追記：
参考になるブログ記事：mmvo.exe関連ウイルス - ex

※08.02.19（火）05:12追記：
大手ウィルス対策ソフトの関係者の方からご要望がありましたら私が捕獲した検体をお送りさせていただきます。ご連絡ください。

※08.02.20（水）02:10追記：
その後もこの記事へのアクセス数が非常に多く、それなりにお役に立っているようなので、
・簡易的な予防処置
・感染したUSBメモリの復旧方法
について説明しておきます。例によって、お断りしておきますが、以下の手順は自己責任でご利用をお願いします。私が試行錯誤した範囲では効果がありましたが、亜種があったら効果はなく、感染は拡大します。その場合は、新たに手動駆除が必要となります。悪質な亜種であればそれ以上の損害が発生する危険性もあります。

---

●簡易的な予防処置
原理的には手動駆除で述べた感染ファイルのうち下記のものについて、同じ場所に同じ名前のダミー（空フォルダ）を読み取り専用で配置しておくだけです：
C:\autorun.inf
C:\q83iwmgf.bat
C:\8e9gmih.bat
"%System%\kava.exe"
"%System%\kavo.exe"
"%System%\kavo0.dll"
"%System%\kavo1.dll"
"%System%\kavo2.dll"
"%System%\mmvo0.dll"
"%System%\mmvo1.dll"
亜種には対応できませんが、同じファイル名であれば感染を防ぐことに成功しました。私が使用して効果のあった簡易予防キット（ダミーの詰め合わせ）を公開しますので、各自の自己責任でご利用いただければ幸いです。三種類の圧縮ファイル（exe、zip、lzh）はどれも同一内容ですので、どれか一つ選んでダウンロードしてください。

・簡易予防キット：
→08.03.08（日）13:35 末尾に更新版を追記：
→08.03.14（金）06:32 下記は「旧版」です。この記事の末尾に最新版を追記して行きますのでそちらをご利用下さい：
　kavo.exe-protection-080220.exe（40.6KB）
　kavo.exe-protection-080220.zip（2.69KB）
　kavo.exe-protection-080220.lzh（1.44KB）

●感染したUSBメモリの復旧方法
感染したUSBメモリの復旧方法は下記の手順となります：
・上述の簡易予防キットを導入したPCに挿してみる。
・重要：PCに挿したらすぐマイコンピュータからドライブを開き、感染ファイルとその動きを追跡する。
・しばらく待ってみる。
・予防キットのダミーと同じファイル名のファイルが存在し、いつまでも見え続けるようであれば、予防に成功していると思われる。そのまま上述の簡易予防キットを導入しておく。
・新たな感染ファイルが見つかり、すぐ消えてしまった場合、感染してしまったと思われるので、また感染ファイルをの手動駆除が必要です。
・簡易予防キットにない新たな感染ファイル名が発生していた場合、そのファイル名の表示が消えてしまう前にしっかり覚えておくこと（おそらく数秒で消えます）。頭の何文字かだけでも分かれば、作成日時から探し出せます。
・感染してしまった場合、残念ですが、上述の手動駆除手順に従い、また手動駆除を繰り返してください。予防キットにその新たな感染ファイル名のダミーを追加してください。

【お願い】これらの作業中に新たな感染ファイル名を発見なさった方はそのファイル名をお知らせいただけませんでしょうか。いただいた情報をもとに、この記事や簡易予防キットの内容を追記・修正したいと思います。メールかコメント欄をご利用ください。

【注意】繰り返しになり恐縮ですが、この説明を読んで作業された結果について、当方は一切その責を追いません。あくまで自己責任でお願いします。ご質問などはメールでお受けしております。なお、正式に業務としてご依頼いただいた場合はこの限りではございません。

---

これらの手順は一時しのぎだ。全ての大手のウィルス対策ソフトがこれらの検知と駆除に対応した後は、そちらに任せることになる。

※08.02.21（木）03:35追記：
avast! から返信があった。パターンを更新して Win32:OnLineGames [Trj] および INF:Autorun [Trj] として検知するようになった、とのことだった。しかし、更新してもやはり検知しない。再度の問い合わせを掛けている。かなり深刻な問題だ。検知しないようなら他のウィルス対策ソフトへの乗換えを検討しなければならない。これまでのところNOD32 アンチウイルス V2.7（キヤノンシステムソリューションズ）が有力候補だ。今回のウィルスに対して一番最初に検知しているとの情報があるからだ。経過はまたこの記事に追記してゆく。

※08.02.22（金）02:45追記：
avast! からまた返信があった。週末まで待ってパターンを更新してくれとのことだ。やはり本件はそれなりに深刻な問題だと思う。他の大手ウィルス対策ソフトの状況も整理してみようと考えている。情報をお持ちの方は是非ご一報下さい。

※08.03.01(土)07:45追記：
さきほど検査したところ avast! のウィルス定義ファイル（080228-0, 2008/02/28）に下記の通り追加されていた：

○トロイの木馬として検出：
ウィルス名　　　検出されたファイル名
Win32:OnLineGames-CLQ [Trj]　　　kavo.exe
Win32:OnLineGames-CLR [Trj]　　　8e9gmih.bat
Win32:OnLineGames-CLS [Trj]　　　kavo0.dll　　kavo1.dll
Win32:OnLineGames-CLT [Trj]　　　kavo2.dll　　kavo3.dll
Win32:OnLineGames-CLU [Trj]　　　q83iwmgf.bat

○ウイルス/ワームとして検出：
ウィルス名　　　検出されたファイル名
BV:Malware-gen　　　autorun.inf
VBS:Malware-gen　　　autorun.inf

上記は領域を選択してスキャンして検出したものだ。実際に感染を防止できるかどうかは確認していない（余裕のあるときにやってみたい）。avast! の担当者（ALWIL Software a.s. のエンジニア）にはメールでお礼を言っておこう。

※08.03.08（土）13:35追記：
コメント欄に書き込みのあったまささんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080308.exe（41.7KB）
　kavo.exe-protection-080308.zip（3.77KB）
　kavo.exe-protection-080308.lzh（1.96KB）

※08.03.10（月）00:06追記：
コメント欄に書き込みのあったko-nekoneさんの情報およびあみさんの情報に基づき簡易予防キットを下記の通り更新しました。ついでに、記事が長くなったので解説部分を「続き」に引越しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080309.exe（44.0KB）
　kavo.exe-protection-080309.zip（6.09KB）
　kavo.exe-protection-080309.lzh（3.05KB）

※08.03.14（金）06:32追記：
コメント欄に書き込みのあったまささんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080314.exe（44.9KB）
　kavo.exe-protection-080314.zip（6.90KB）
　kavo.exe-protection-080314.lzh（3.49KB）

※08.03.17（月）02:52追記：
コメント欄に書き込みのあったまささんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080317.exe（45.3KB）
　kavo.exe-protection-080317.zip（7.36KB）
　kavo.exe-protection-080317.lzh（3.71KB）

※08.03.18（火）10:50追記：
検索「o0s.cmd」から大量にアクセスが来ているため、件名にこのファイル名を追記した。ここにたどり着いた人のウィルス駆除に役立てば幸いだ。

※08.03.19（水）11:30追記：
えこ（えこーず）さんのブログ（ねじりぱん、たべたいな）で「メモ帳などでautorun.infを開いて、shellopenCommand=ファイル名となってる部分に書かれたファイル名をメモしておき、ファイルスキャナで参照⇒ローカルディスクのルート⇒全てのファイルを表示にしてファイル名の所にメモしたファイル名を打ち込めば良し。」（改行位置変更）という手順が使われていた（引用元：新しいのが幾つか出てました）。USBを挿した瞬間の挙動を見逃してしまった場合はこの手でOKだろう。

それにしてもこの記事、コメント欄も含めてかなり長くなってしまった。分割して新規記事にしようかとも思ったが、今朝もあいかわらず検索「o0s.cmd」から大量にアクセスが来るているし、日本語の情報が少ない（というか、「o0s.cmd」だとこの記事しかヒットしない）状態なので、閲覧者の利便を考えてこのままにしておく。

※08.03.28（金）09:49追記：
メールでの相談が何件か来ているので、参考になりそうなものを１件ご紹介する。相談者の個人名は仮にTさんとした。以下、メールの概略を抜粋（誤字・改行位置など適宜修正している）：

（１）Tさん→中村
はじめまして、Tと申します。このたび当方のPCも感染し中村様のHPのおかげでなんとか駆除することができ大変感謝しております。ところでひとつ教えていただければと思いメール差し上げました。簡易予防キットの中にあるドライブのルートに配置するダミーというのは具体的にはどちらのフォルダーに入れればよいのでしょうか。ご多忙のところ恐縮ですが、ご教授いただければ幸いです。

（２）中村→Tさん
お問い合わせありがとうございます。私の記事で駆除ができたとのことでうれしく思います。さて、お問い合わせの件ですが、ルートというのはトップフォルダのことです。エクスプローラーのアドレス欄に「C:\」などと表示されている状態の場所です。「C:\」フォルダ内には普通は「C:\WINDOWS」などが存在しています。なお、ネットワークドライブを除く全てのローカルドライブに感染の可能性がありますので、内蔵・外付け問わず、それら全てのドライブが対象になります。普通はC:がシステム、D:がデータ、などとなっています。

（３）Tさん→中村丁寧なご回答ありがとうございました。つまり「C:\」のところに「WINDOWS」や「Program Files」などとならべておいておけばよいということですね。
実は昨日の駆除でCドライブは開けるようになったのですが、Dドライブを開こうとするとまだ「ファイルを開くプログラムの選択」のウィンドウが開いてしまい直接開くことができませんでした。原因がよくわからないのですがCドライブの駆除だけではだめということなのでしょうか。

（４）中村→Tさん
大変恐縮ではありますが、ご質問の状況から判断すると、そのPCはまだウィルスに感染した状態であると思われます。kavo.exe の特徴の一つに、USBメモリなどを介して感染するときはその時点で有効になっている全てのローカルドライブに瞬時に感染させてしまう、というものがあります。おそらく、システムドライブであるCドライブから駆除したことで症状は消えたけれど、Dドライブの感染が放置されていたため、Dドライブを開こうとした時点でまた症状が発生したものと思われます。この場合、当然ながら、Dドライブを開いて以降に接続していた（接続した）全てのローカルドライブ（USBメモリなども含めて全て！）が再度の感染をしている危険が高いです。また最初から同じ駆除手順を繰り返し、Dドライブを含む全てのドライブからウィルスを駆除する必要があります。

（５）Tさん→中村
ありがとうございます。がんばってすべてのドライブの駆除をしたいと思います。また何かわからないことがあったらお世話になることもあるかと思いますがその節はよろしくお願いいたします。

※08.03.29（土）07:50追記：
未感染のPCに感染しているUSBメモリを接続する場合、SHIFTキーを押しながら挿すと自動実行が止まるのでPCへの感染を予防できるとのことです。エクセルのマクロを止めるときにも使う手なので有効なんだろうと思いますが、私の方では確認実験していません。この手で予防に成功した方がいらっしゃいましたらお教え下さい。

※08.04.08（火）00:50追記：
コメント欄に書き込みのあったharinezumiさんの情報およびまささんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080408.exe（45.8KB）
　kavo.exe-protection-080408.zip（7.82KB）
　kavo.exe-protection-080408.lzh（3.93KB）

※08.04.09（水）01:02追記：
コメント欄に書き込みのあったまささんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080409.exe（46.0KB）
　kavo.exe-protection-080409.zip（8.06KB）
　kavo.exe-protection-080409.lzh（4.05KB）

※08.04.19（土）08:53追記：
コメント欄に書き込みのあったまささんの情報、あっきぃさんの情報および卯月さんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080419.exe（47.1KB）
　kavo.exe-protection-080419.zip（9.19KB）
　kavo.exe-protection-080419.lzh（4.63KB）

※08.04.22（火）06:45追記：
コメント欄に書き込みのあったまささんの情報に基づき簡易予防キットを下記の通り更新しました。

・簡易予防キット（更新版）：
　kavo.exe-protection-080422.exe（47.6KB）
　kavo.exe-protection-080422.zip（9.64KB）
　kavo.exe-protection-080422.lzh（4.84KB）

※08.09.09（火）11:16追記：
レジストリの記載で「ShowSuperHidden」が抜けていたので追記。