初回投稿 2016年5月1日
最終更新 2017年9月1日

js/vbs/wsfファイルの疑問4つ ウイルスNemucod JS.Downloaderとは

イメージ 1

セキュリティ対策ソフトがそろって定義するウイルス検出名 Nemucod（読み方 ネムコッド）や JS.Downloader とはいったい何モノ？

画像付きでコンピュータウイルスの解説です。

1. どこからファイルはやって来る？ 感染経路

Nemucod ウイルス、JS.Downloader ウイルスの感染経路は？

ネット上の怪しいサイトや改ざん被害を喰らってる一般サイトで、その手の不正なファイルを手動ダウンロードさせるパターンもあるけど、特に 迷惑メール（スパムメール） が代表的な入手経路になります。

  1. メールで ← 圧倒的に多い経路

  2. ネットサーフィン中に

  3. Skype のチャット

実際に、手元に着弾した英語表記の ウイルスメールの実例 がコチラ♪ ＜日本も含め世界中の不特定多数にドバドバ～と配信されたウイルスメール

イメージ 4
注文確認が名目のウイルスメール実例
送信者として実在する米国の楽器店を装ってる

イメージ 5
文書スキャンデータを装うメール実例
送信者として実在するブラジルの弁護士事務所を騙る

  • 迷惑メール の 添付ファイル として受け取る

  • メール本文中に記載された リンク から不正なファイルを DL させる

それ以外の Nemucod ウイルス、JS.Downloader の入手経路として、Skype で知り合いのアカウント（←乗っ取られてる）から ”写真” を確認するよう誘うスパムメッセージ が拡散した攻撃例があります。

2. 具体的にファイルの種類は？

迷惑メール（スパムメール） で受け取ったファイルは、多くは 圧縮アーカイブ（zip形式、rar形式、7z形式など） です。

ただ、コンピュータウイルスの脅威はあくまでその中身。

ユーザーが手動で圧縮アーカイブを解凍・展開する作業を行うと、中から次のような スクリプトファイル が登場します。


■ JavaScript ファイル / JScript Scriptファイル

イメージ 2
ファイルの種類（拡張子）に注目！
jsウイルスの実物画像

ファイルの拡張子 → .js .jse

アイコンは、白紙の上に黄色い巻き物が描かれてます。


■ VBScript Script ファイル、Windows Script ファイル

イメージ 3
ダブルクリック厳禁！
wsfウイルスの現物画像

ファイルの拡張子 → .vbs
ファイルの拡張子 → .wsf

アイコンは、白紙の上に水色の巻き物が描かれてます。

いずれも 「巻き物」 の図案から、文書と勘違いしてファイルをうっかり開くユーザーさんがいる？

さらに、スクリプトファイルは、セキュリティ製品のファイルスキャンでスリ抜けてしまう傾向もあり、実行ファイル（拡張子 .exe / .scr）が届く脅威ではないところに注意が必要です。

【スクリプトファイルとウイルスメール】
2014年あたり
海外で使われてるメールアドレス宛てに、添付されてるスクリプトファイル 「～.doc.js」 を開くよう誘惑するウイルス感染手口が観測され始める

2015年12月～
日本のメールアドレス宛てにも、スクリプトファイル付きで英語表記のウイルスメールが押し寄せるようになり、世界的にランサムウェア感染被害が続発し始める

2016年10月～
日本国内のユーザーをターゲットに、ネットバンキングウイルスの感染を意図した日本語表記のウイルスメールが猛攻を振るう

3. 何をすると危険？ ウイルス感染時の症状は？

この不正なスクリプトウイルスを Windowsパソコン上 でポチポチっと ダブルクリック して開いたら、攻撃を喰らってアウトです。

ウイルス攻撃者は、ファイルを 「請求書」「通知」「写真」「FAX受信データ」 みたく装わせることで、スクリプトファイルの脅威を前にあっけなく陥落する Windows ユーザーさんが出現します。

  • 目に見えるウイルスの症状なら…
    ランサムウェア（身代金要求ウイルス） に感染し、大事なファイルが破壊されてしまい開けない状態に！

  • 目に見えないウイルスの症状なら…
    ネットバンキングやクレジットカードの情報を盗む ネットバンキングウイルス、第三者に PC を遠隔操作される バックドア に感染！


ウイルスメールの対処方法は、メールを迷惑メールフォルダに振り分けておくなり、最終的にメールが破棄される形ならば解決バッチリです！


■ プレビュー機能でウイルス感染!?

メールソフトの開封プレビュー機能でメッセージ本文が表示されただけでは、何も起こりません！ ＜メールの開封で見るだけウイルス感染 は、今から 15年近く前 の古い手口

つまり、Windows ユーザーさんの意思で不正なファイルを開いて踏み抜くことが必須です。

4. 影響環境は？ スマホはウイルス大丈夫？

スクリプトウイルス（.jsファイル、.jseファイル、.vbsファイル、.wsfファイル） の動作環境は、Windows XP/Vista/7/8/10 に限定されます。

 Mac OS X
 Android スマホ
 iOS （iPhone / iPad）
 ガラケー

動作対象外の環境では、メール受信そのものはあっても、ウイルス感染に至ることはないので大丈夫です。 ＜スマホやタブレットは安全セーフ

無料ウイルス対策でスクリプトファイル無力化

『怪しいメールを開くな』『不審なファイルを開くな』 という至極当然のウイルス対策を見かけます。

ただ、現実的には…？

  • 自分で ”怪しい” と判断できずに右往左往するユーザーさんがいる

  • 人間はヒューマンエラー（人為的ミス）を起こす生き物である

  • セキュリティソフトの対応が後手にまわり検出をスリ抜けうる

そこで、”うっかり” するのを前提に、このスクリプトファイルを使ったウイルス攻撃手口を100％確実に防ぐ強力な 無料ウイルス対策 2つをどぞー。

  1. 無料ウイルス対策3つでjs/jse/wsf/vbs拡張子ファイル無害化

  2. ファイアウォール設定で感染防ぐ無料ウイルスメール対策

セキュリティソフトにすべてを託さない、効果のあるウイルス対策です。


セキュリティ忘備録

スクリプトファイルを利用した脅威のウイルス検出名 Nemucod、JS.Downloader は、セキュリティ製品ごとに違うのでいろいろ一覧です。

ESET ウイルス定義
JS/Danger.ScriptAttachment JS/TrojanDownloader.Nemucod JS/Danger.DoubleExtension JS/TrojanDownloader.Agent VBS/TrojanDownloader.Agent JS/Agent

BitDefender ウイルス定義
Trojan:JS/Kavala.D JS.TeslaCrypt.1.Gen JS.TeslaCrypt.2.Gen JS.TeslaCrypt.4.Gen JS:Trojan.JS.Agent Trojan-Downloader:JS/Locky Trojan-Downloader:VBS/Kavala Trojan-Downloader:JS/Kavala.V JS:Trojan.Script Trojan.JS.Downloader.Nemucod JS:Trojan.Cryxos JS.Remucod.2.Gen Trojan-Downloader:JS/Kavala.U Trojan-Downloader:VBS/Kavala.Z JS:Trojan.JS.Downloader JS:Trojan.Downloader Trojan-Downloader:VBS/Locky Trojan-Downloader:VBS/Locky.AF Trojan.VBS.Downloader VB:Trojan.VBS.Agent Exploit.OLE-JS.Gen Exploit.OLE-JS.Gen.1 VB:Trojan.Downloader JS:Trojan.Ransom VB:Trojan.VBS.Downloader JS:Trojan.Ransom Trojan-Downloader:VBS/Scarab Exploit.HTML-PowerShell.Gen Trojan.Agent Trojan.Oroles.Gen.8

Kaspersky ウイルス定義
Trojan-Downloader.JS.Agent HEUR:Trojan-Downloader.Script.Generic Trojan-Downloader.VBS.Cryptoload HEUR:Trojan.Script.Agent.gen Trojan-Downloader.JS.Cryptoload HEUR:Trojan-Downloader.Script.SLoad.gen

McAfee ウイルス定義
/Nemucod.ig JS/Nemucod.tsf JS/Nemucod.id JS/Downloader.gen VBS/Downloader JS/Downloader.gen

Microsoft ウイルス定義
TrojanDownloader:JS/Nemucod TrojanDownloader:JS/Nemucod!rfn TrojanDownloader:JS/Swabfex.C TrojanDownloader:JS/Swabfex.P TrojanDownloader:JS/Locky TrojanDownloader:JS/Jasobfus.A!ml TrojanDownloader:JS/Jasobfus.B!ml TrojanDownloader:JS/Nemucod!rfn TrojanDownloader:VBS/Schopets Trojan:Script/Cloxer.A!cl Trojan:Script/Cloxer.D!cl TrojanDownloader:PowerShell/Bynoco TrojanDownloader:PowerShell/Ploprolo.A Trojan:JS/Foretype.A!ml Trojan:JS/Sonbokli.A!cl Trojan:JS/Tisifi.A

Sophos ウイルス定義
Troj/JsDwnldr Troj/JSDldr Troj/VBSDl JS/DwnLdr JS/Dldr VBS/DwnLdr VBS/Dldr VBS/DownLd VBS/Agent Troj/VBSDldr Troj/JSDl

Symantec ウイルス定義
JS.Downloader JS.Downloader!gen11 JS.Downloader!gen15 JS.Downloader!gen19 JS.Downloader!gen39 JS.Downloader!gen40 JS.Downloader.D VBS.Downloader.B ISB.Downloader!gen48 ISB.Downloader!gen49 ISB.Downloader!gen60 ISB.Downloader!gen80 ISB.Downloader!gen92

Trend Micro ウイルス定義
JS_NEMUCOD.QFA JS_NEMUCOD.DLDUH JS_NEMUCOD.SMJY JS_NEMUCOD.DLDY JS_LOCKY.EA JS_LOCKY.EU JS_NEMUCOD.SM JS_NEMUCOD.SMMA JS_NEMUCOD.SMK JS_NEMUCOD.SMK7 JS_NEMUCOD.SMAA5 JS_NEMUCOD.SMAA9 JS_LOCKY.DLDS JS_LOCKY.FM JS_LOCKY.DLDSAOM JS_FORMERS JS_LOCKY.EA JS_LOCKY.DLDVEF JS_LOCKY.DLDVEJ JS_LOCKY.DLDVEL JS_LOCKY.DLDVEP JS_LOCKY.DLDR JS_LOCKYLOAD.A VBS_LOCKY.SM VBS_LOCKY.SMAA JS_LOCKY.DLDSARG JS_NEMU JS_URSNIF Mal_Nemucod-8 Possible_Nemucod-8 HEUR_JSRANSOM.O2 HEUR_JSRANSOM.O3 HEUR_JSRANSOM.O5 HEUR_JSRANSOM.O6 Mal_NemuHeur Mal_NemuHeur-2 JS_GEN Mal_VBSCRDLX VBS_DLOADR VBS_SCARAB VBS_SCA JS_NEMUCOD.SMQR HEUR_JS.O.ELBP VBS_POWLOAD Trojan.JS.POWLOAD


■ ウイルス検出名の意味

  • JS → スクリプト言語 JScript ／ JavaScript
    （※ 名前が似ている Java はいっさい関係ない）

  • VBS → スクリプト言語 VBScript

  • Troj / Trojan → トロイの木馬

  • Downloader / Dl / Dldr → ファイルのダウンローダー機能

  • Nemucod ...  document をもじった表記で、文書の確認を誘う手口に由来

関連するブログ記事
タグ ：
#Windows