本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Email-Worm.VBS.HappyTime

クラス Email-Worm
プラットフォーム VBS
説明

技術的な詳細

このインターネットワームは、MS Outlook ExpressおよびMSMAPIサービスを使用して電子メールメッセージに広がります。このワームは、Visual Basic Sc​​ript language(VBS)で書かれています。

ワームは、HTML形式の電子メールメッセージ、またはHTMLファイルが添付されたプレーンテキストメッセージとしてコンピュータに到着します。最初のケースでは、HTMLメッセージ本文のスクリプトコードがメッセージのオープン時に自動的に実行され、ワー​​ムは制御を取得します。それ以外の場合、ユーザーは添付されたHTMLファイルをダブルクリックして開き、ワームを有効にする必要があります。

ワームは起動されてすぐには広がりません。むしろコンピュータに感染し始める。

これは、内部にワームコードを含むHTMLファイルでデスクトップの壁紙を変更します。感染前にデスクトップに背景画像がある場合、この画像は感染したHTMLの背景として表示されます。ほとんどの場合、壁紙が変更されたことがユーザーには分かりません。したがって、ワームは、デスクトップが表示される(たとえば、ウィンドウの起動時に)、またはリフレッシュされるたびに制御を取得します。

さらに、このワームは、Windowsフォルダの "WEB"サブフォルダにあるすべての.HTTファイルに感染します。 Windowsは、これらのファイルを使用して、Webモードが有効な場合(たとえば、Program Filesフォルダ)、エクスプローラで一部のフォルダを表示するようにカスタマイズします。これらのファイルに感染すると、特定のフォルダが表示されるたびにワームコードが実行されます。

ワームは、制御が行われるたびに、HTM、HTML、ASP、およびVBSの拡張子を持つファイルを検索し、一度に1つのファイルに感染させます(これらのファイルに自分のコードを挿入します)。しばらくすると、コンピュータ上のこれらのファイルがすべて感染します。

ワームはまた、MS Outlook Expressのレジストリ値を変更して、Outlook ExpressでHTML形式のメッセージを作成し、これに文房具を使用します。このようにして、このワームはOutlook Expressを使用して作成されたメッセージに広がります。 Outlook Expressは、新しいメッセージを作成するたびに、文房具テンプレート(HTMLファイル、ワームに感染したもの、上記参照)の1つを使用します。ワームのスクリプトは自動的にメッセージを入力します。

実行ごとに、ワームはシステムレジストリのカウンタをインクリメントし、値が366に達すると、2つの拡散ルーチンのうちの1つを実行します。

最初のルーチンは、MS Outlookのアドレス帳から電子メールアドレスを収集し、収集したすべてのアドレスに感染メッセージを送信します。

2番目のルーチンは、受信ボックスフォルダ内のすべてのメッセージを列挙し、検出されたメッセージごとに "Fw:"と元のメッセージの件名である "返信"を作成して送信します。

どちらのルーチンもMSMAPIサービスを使用してメッセージを送信します。

感染したメッセージにはテキストはありませんが、内部にワームコードを含む添付ファイル "Untitled.htm"があります。

曜日と月の合計が13の場合、ワームはEXEファイルとDLLファイルを検索し、一度に1つのファイルを削除します。


オリジナルへのリンク