親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Email-Worm
Email-Wormsは電子メールで広がります。ワームは、電子メールメッセージへの添付ファイル、またはネットワークリソース上のファイルへのリンク（例えば、侵害されたWebサイトやハッカー所有のWebサイト上の感染ファイルへのURL）として自身のコピーを送信します。最初のケースでは、感染した添付ファイルが開かれた（起動された）ときにワームコードがアクティブになります。 2番目のケースでは、感染ファイルへのリンクが開かれたときにコードが有効になります。どちらの場合も、結果は同じです：ワームコードが有効になっています。 Email-Wormは、感染した電子メールを送信するためにさまざまな方法を使用します。最も一般的なのは、Windows MAPI機能を使用するMS Outlookサービスを使用してワームのコードに組み込まれた電子メールディレクトリを使用してSMTPサーバーに直接接続することです。 Email-Wormsは、感染した電子メールが送信される電子メールアドレスを見つけるためにいくつかの異なるソースを使用しています：MS Outlookのアドレス帳ハードドライブに格納されたWABアドレスデータベース.txtファイル：ワームはテキストファイルのどの文字列メールボックスは、受信ボックス内の電子メールアドレスを扱います（一部の電子メールワームは、受信ボックスにある電子メールにも「返信」します）。多くのEメールワームは、上記のソースのうちの複数を使用します。 Webベースの電子メールサービスに関連付けられたアドレス帳など、電子メールアドレスの他のソースもあります。プラットフォーム: VBS
Visual Basic Scripting Edition（VBScript）は、Windows Script Hostによって解釈されるスクリプト言語です。 VBScriptは、Microsoft Windowsオペレーティングシステムでスクリプトを作成するために広く使用されています。説明
技術的な詳細
これは、バージョンに応じて異なる感染技術を使用するインターネットワームのファミリーです。 2つの "基本的な"ワーム、 "Lee.a"と "Lee.b"があります。前者はIRCチャネルを介して広がり、後者はMS Outlookを使用して感染した電子メールを送信します。他のワームのバージョンは、これらオリジナルのものの修正および/または組み合わせです。すべてのワームはVisual Basicスクリプト言語（VBS）で書かれています。
I-Worm.Lee.a
これは単純なワームです。感染したコンピュータと同じチャネルに接続されているコンピュータに感染ファイルを送信することにより、IRCチャネルを介して拡散します。
ワームは、ユーザによって起動されると、 "McAffe.vbs"という名前のWindowsシステムフォルダに自分自身をコピーします。次に、mIRCクライアントがインストールされているディレクトリを探し、このディレクトリにmIRCクライアント用のコマンドを含む "SCRIPT.INI"ファイルを作成します。ワームは、このファイルに、感染したコンピュータと同じチャネルに接続されているすべてのコンピュータに感染ファイルを送信するコマンドを書き込みます。
"SCRIPT.INI"ファイルを作成した後、システムレジストリにマークが作成されるので、このマークが存在する場合、ワームは "SCRIPT.INI"ファイルを作成しません。
ワームはペイロードルーチンを持っていません。
I-Worm.Lee.b
このワームは、感染したコンピュータから感染したメッセージを送信して電子メールで感染します。拡散中、ワームはMS Outlookを使用し、MS Outlookアドレス帳に格納されているすべてのアドレスに自身を送信します。その結果、感染したコンピュータは、同じ数のメッセージを、MS Outlookの連絡先リストに保持されている数のアドレスに送信します。
ウイルスは、Windows Scripting Host（WSH）がインストールされているコンピュータでのみ動作します。 Windwos 98とWindows 2000では、WHSはデフォルトでインストールされます。ワームは、自身を広めるために、MS Outlookにアクセスし、その機能とアドレス帳をOutlook 98/2000のみで使用するため、これらのMS Oulookバージョンのいずれかがインストールされているインスタンスでのみ感染を広げることができます。
広がる
ワームは、ワーム自体であるVBSファイルが添付された電子メールメッセージとしてコンピュータに到着します。元のワームバージョンのメッセージには、次の内容が含まれています。
件名： メール：Lee@Buxtehude.de
体：Windowsでのベストファイアウォールは...> BlackIceです。添付ファイル名： Independance Day.vbs
BUGFIX des Monats：
Windoof 2000。
Dukanne Dich、Windoos 2000 ServerはGast einloggenです。
あなたの国の法律に基づいて、
Zugriffは、＃rfenを使用しています。
Wie zb。 Boot.ini ... ts..ts..tsを実行してください
LEBENSHILFE ......：
99％の問題は、TastaturとStuhlの違いを知ることです。
ダイ、クンネン、チュー。死ぬ、死ぬ、死ぬ
Ein Hackerは、すべての賞を受賞しました。 Dann immer mit Absicht。
2人は1人に8人、8人は3人で話す。
ユーアー・リー
ワームはMS Outlookを開き、アドレス帳にアクセスし、そこからすべてのアドレスを取得し、添付されたコピーを含むメッセージをすべてのユーザーに送信します。メッセージの件名、本文、添付ファイル名は上記と同じです。
感染したコンピュータから重複したメッセージが送信されるのを防ぐため、ワームはシステムレジストリにマークを作成します。このマークが存在する場合、ワームはメッセージを送信しません。
ワームはペイロードルーチンを持っていません。
I-Worm.Lee.c
このワームの亜種は "Lee.b"亜種に非常に近いです。コードにいくつかの変更と追加があります：
感染したメッセージには以下が含まれます：
件名： Ncc1701e
体：こんにちは、これはNCC1701eです。添付ファイル名： Picard.vbs
あなたは死ぬ必要があります..すべてのTerranien Guysへの同化...
ワームがアクティブになると、自身を "Picard.vbs"という名前のWindowsディレクトリにコピーし、このファイルを自動スタートセクションのシステムレジストリに登録します。
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunStartTrek = "wscript.exe Picard.vbs"
その結果、Windows起動時にワームがアクティブになります。
コメント文字列がコードの先頭に追加されます。
'ワームはドイツのリーさんによって作成されました
I-Worm.Lee.d
これは "Lee.a"と "Lee.b"の亜種です。感染したメッセージには以下が含まれます：
件名： Mail from：Osterhase@Ostern.de
体：こんにちは..添付ファイル名： Osterhase.vbs
これをチェックして！
これは私たちの死です..
私の名前はリーです..
私はドイツから来た..
そして私はLucky2000が嫌い...盗まれている
私の意見ワーム。私はDVLからDukeも嫌いだ
私のお気に入りのページはCoderz.Netです.Thx：Evulがホストする
私のサイト... Har Har Har ..
エイン・ジェイラー・トリック・フォン・ミー.....
Telnet経由で。
WindsofのStartseiteは、あなたの人生の中で、あなたの人生を描いています。＃人は、＃hren、
Dort gebt ihr> Telnet <ein und dr＃cktリターン。
das Microschrott Terminal TelnetでFensterに接続する
。また、VerbindenとVerbindenの間には、
ネットワークシステムとネットワーク上のDanach：
mail.compuserve.com 25（Compuserve verwendet、
T-Online、オンラインまたは無料で提供されています。）
サーバーとサーバーを接続します。
Ihr tippt dann "helo"。ダス・ヘロは、スティーブンを知っています。
Jetzt schreibt ihr：メール元：
Bill_Gates@Microsoft.com（他の人と同様に）Ihr dr＃ckt dann Return、
メールアドレス：em�f�nger@ sein provider.de（完全なEメールアドレス）。
あなたが戻ってきた味とダン・クンクト・ダイ
Nachricht：250em�f�nger@ sein provider.de ...受信者OK。
「データ」と「ユーレンテキスト」
メールアドレスを入力してくださいメールアドレスを入力してください "そして帰りの味。
戦争は終わって、戦争は終わった...： - ）.....
ユーアーリー
ウォームにはコードの最後にコメント文字列があります：
Leeから'Osterhase@Ostern.de
I-Worm.Lee.e
"Lee.d"と同じですが、自動スタートセクションのシステムレジストリに自身を追加登録します：
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunLee = "wscript.exe Ds9.vbs"
その結果、Windows起動時にワームがアクティブになります。
感染したメッセージには以下が含まれます：
件名： こんにちはこのチェック...
本文： こんにちは..あなたのゲームは終わりです。
添付ファイル名： Ds9.vbs
I-Worm.Lee.f
これは "Lee.c"のわずかな多型です。これには、ワームコード内の変数名をランダムに変更するルーチンが含まれています。
感染したメッセージには以下が含まれます：
件名： 新しいOutlookセキュリティツール
体：ユーザーの皆様 ！添付ファイル名： Update.vbs
ここに、New Security Outlookツールがあります。
Vbウイルスはこれ以上ありません。
Sincerly：Lee@Microsoft.com
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com