Email-Worm.VBS.HappyTime

技術的な詳細

このインターネットワームは、MS Outlook ExpressおよびMSMAPIサービスを使用して電子メールメッセージに広がります。このワームは、Visual Basic Sc​​ript language（VBS）で書かれています。

ワームは、HTML形式の電子メールメッセージ、またはHTMLファイルが添付されたプレーンテキストメッセージとしてコンピュータに到着します。最初のケースでは、HTMLメッセージ本文のスクリプトコードがメッセージのオープン時に自動的に実行され、ワー​​ムは制御を取得します。それ以外の場合、ユーザーは添付されたHTMLファイルをダブルクリックして開き、ワームを有効にする必要があります。

ワームは起動されてすぐには広がりません。むしろコンピュータに感染し始める。

これは、内部にワームコードを含むHTMLファイルでデスクトップの壁紙を変更します。感染前にデスクトップに背景画像がある場合、この画像は感染したHTMLの背景として表示されます。ほとんどの場合、壁紙が変更されたことがユーザーには分かりません。したがって、ワームは、デスクトップが表示される（たとえば、ウィンドウの起動時に）、またはリフレッシュされるたびに制御を取得します。

さらに、このワームは、Windowsフォルダの "WEB"サブフォルダにあるすべての.HTTファイルに感染します。 Windowsは、これらのファイルを使用して、Webモードが有効な場合（たとえば、Program Filesフォルダ）、エクスプローラで一部のフォルダを表示するようにカスタマイズします。これらのファイルに感染すると、特定のフォルダが表示されるたびにワームコードが実行されます。

ワームは、制御が行われるたびに、HTM、HTML、ASP、およびVBSの拡張子を持つファイルを検索し、一度に1つのファイルに感染させます（これらのファイルに自分のコードを挿入します）。しばらくすると、コンピュータ上のこれらのファイルがすべて感染します。

ワームはまた、MS Outlook Expressのレジストリ値を変更して、Outlook ExpressでHTML形式のメッセージを作成し、これに文房具を使用します。このようにして、このワームはOutlook Expressを使用して作成されたメッセージに広がります。 Outlook Expressは、新しいメッセージを作成するたびに、文房具テンプレート（HTMLファイル、ワームに感染したもの、上記参照）の1つを使用します。ワームのスクリプトは自動的にメッセージを入力します。

実行ごとに、ワームはシステムレジストリのカウンタをインクリメントし、値が366に達すると、2つの拡散ルーチンのうちの1つを実行します。

最初のルーチンは、MS Outlookのアドレス帳から電子メールアドレスを収集し、収集したすべてのアドレスに感染メッセージを送信します。

2番目のルーチンは、受信ボックスフォルダ内のすべてのメッセージを列挙し、検出されたメッセージごとに "Fw："と元のメッセージの件名である "返信"を作成して送信します。

どちらのルーチンもMSMAPIサービスを使用してメッセージを送信します。

感染したメッセージにはテキストはありませんが、内部にワームコードを含む添付ファイル "Untitled.htm"があります。

曜日と月の合計が13の場合、ワームはEXEファイルとDLLファイルを検索し、一度に1つのファイルを削除します。