Email-Worm.VBS.Lee

技術的な詳細

これは、バージョンに応じて異なる感染技術を使用するインターネットワームのファミリーです。 2つの "基本的な"ワーム、 "Lee.a"と "Lee.b"があります。前者はIRCチャネルを介して広がり、後者はMS Outlookを使用して感染した電子メールを送信します。他のワームのバージョンは、これらオリジナルのものの修正および/または組み合わせです。すべてのワームはVisual Basicスクリプト言語（VBS）で書かれています。

I-Worm.Lee.a

これは単純なワームです。感染したコンピュータと同じチャネルに接続されているコンピュータに感染ファイルを送信することにより、IRCチャネルを介して拡散します。

ワームは、ユーザによって起動されると、 "McAffe.vbs"という名前のWindowsシステムフォルダに自分自身をコピーします。次に、mIRCクライアントがインストールされているディレクトリを探し、このディレクトリにmIRCクライアント用のコマンドを含む "SCRIPT.INI"ファイルを作成します。ワームは、このファイルに、感染したコンピュータと同じチャネルに接続されているすべてのコンピュータに感染ファイルを送信するコマンドを書き込みます。

"SCRIPT.INI"ファイルを作成した後、システムレジストリにマークが作成されるので、このマークが存在する場合、ワームは "SCRIPT.INI"ファイルを作成しません。

ワームはペイロードルーチンを持っていません。

I-Worm.Lee.b

このワームは、感染したコンピュータから感染したメッセージを送信して電子メールで感染します。拡散中、ワームはMS Outlookを使用し、MS Outlookアドレス帳に格納されているすべてのアドレスに自身を送信します。その結果、感染したコンピュータは、同じ数のメッセージを、MS Outlookの連絡先リストに保持されている数のアドレスに送信します。

ウイルスは、Windows Scripting Host（WSH）がインストールされているコンピュータでのみ動作します。 Windwos 98とWindows 2000では、WHSはデフォルトでインストールされます。ワームは、自身を広めるために、MS Outlookにアクセスし、その機能とアドレス帳をOutlook 98/2000のみで使用するため、これらのMS Oulookバージョンのいずれかがインストールされているインスタンスでのみ感染を広げることができます。

広がる

ワームは、ワーム自体であるVBSファイルが添付された電子メールメッセージとしてコンピュータに到着します。元のワームバージョンのメッセージには、次の内容が含まれています。

件名： メール：Lee@Buxtehude.de

体：

Windowsでのベストファイアウォールは…> BlackIceです。

BUGFIX des Monats：

Windoof 2000。
Dukanne Dich、Windoos 2000 ServerはGast einloggenです。
あなたの国の法律に基づいて、
Zugriffは、＃rfenを使用しています。
Wie zb。 Boot.ini … ts..ts..tsを実行してください

LEBENSHILFE ……：

99％の問題は、TastaturとStuhlの違いを知ることです。
ダイ、クンネン、チュー。死ぬ、死ぬ、死ぬ
Ein Hackerは、すべての賞を受賞しました。 Dann immer mit Absicht。
2人は1人に8人、8人は3人で話す。

ユーアー・リー

添付ファイル名： Independance Day.vbs

ワームはMS Outlookを開き、アドレス帳にアクセスし、そこからすべてのアドレスを取得し、添付されたコピーを含むメッセージをすべてのユーザーに送信します。メッセージの件名、本文、添付ファイル名は上記と同じです。

感染したコンピュータから重複したメッセージが送信されるのを防ぐため、ワームはシステムレジストリにマークを作成します。このマークが存在する場合、ワームはメッセージを送信しません。

ワームはペイロードルーチンを持っていません。

I-Worm.Lee.c

このワームの亜種は "Lee.b"亜種に非常に近いです。コードにいくつかの変更と追加があります：

感染したメッセージには以下が含まれます：

件名： Ncc1701e

体：

こんにちは、これはNCC1701eです。
あなたは死ぬ必要があります..すべてのTerranien Guysへの同化…

添付ファイル名： Picard.vbs

ワームがアクティブになると、自身を "Picard.vbs"という名前のWindowsディレクトリにコピーし、このファイルを自動スタートセクションのシステムレジストリに登録します。

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunStartTrek = "wscript.exe Picard.vbs"

その結果、Windows起動時にワームがアクティブになります。

コメント文字列がコードの先頭に追加されます。

'ワームはドイツのリーさんによって作成されました

I-Worm.Lee.d

これは "Lee.a"と "Lee.b"の亜種です。感染したメッセージには以下が含まれます：

件名： Mail from：Osterhase@Ostern.de

体：

こんにちは..
これをチェックして！
これは私たちの死です..
私の名前はリーです..
私はドイツから来た..
そして私はLucky2000が嫌い…盗まれている
私の意見ワーム。私はDVLからDukeも嫌いだ
私のお気に入りのページはCoderz.Netです.Thx：Evulがホストする
私のサイト… Har Har Har ..

エイン・ジェイラー・トリック・フォン・ミー…..
Telnet経由で。

WindsofのStartseiteは、あなたの人生の中で、あなたの人生を描いています。＃人は、＃hren、
Dort gebt ihr> Telnet <ein und dr＃cktリターン。
das Microschrott Terminal TelnetでFensterに接続する
。また、VerbindenとVerbindenの間には、
ネットワークシステムとネットワーク上のDanach：
mail.compuserve.com 25（Compuserve verwendet、
T-Online、オンラインまたは無料で提供されています。）
サーバーとサーバーを接続します。
Ihr tippt dann "helo"。ダス・ヘロは、スティーブンを知っています。
Jetzt schreibt ihr：メール元：
Bill_Gates@Microsoft.com（他の人と同様に）Ihr dr＃ckt dann Return、
メールアドレス：em�f�nger@ sein provider.de（完全なEメールアドレス）。
あなたが戻ってきた味とダン・クンクト・ダイ
Nachricht：250em�f�nger@ sein provider.de …受信者OK。
「データ」と「ユーレンテキスト」
メールアドレスを入力してくださいメールアドレスを入力してください "そして帰りの味。
戦争は終わって、戦争は終わった…： – ）…..

ユーアーリー

添付ファイル名： Osterhase.vbs

ウォームにはコードの最後にコメント文字列があります：

Leeから'Osterhase@Ostern.de

I-Worm.Lee.e

"Lee.d"と同じですが、自動スタートセクションのシステムレジストリに自身を追加登録します：

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunLee = "wscript.exe Ds9.vbs"

その結果、Windows起動時にワームがアクティブになります。

感染したメッセージには以下が含まれます：

件名： こんにちはこのチェック…
本文： こんにちは..あなたのゲームは終わりです。
添付ファイル名： Ds9.vbs

I-Worm.Lee.f

これは "Lee.c"のわずかな多型です。これには、ワームコード内の変数名をランダムに変更するルーチンが含まれています。

感染したメッセージには以下が含まれます：

件名： 新しいOutlookセキュリティツール

体：

ユーザーの皆様 ！
ここに、New Security Outlookツールがあります。
Vbウイルスはこれ以上ありません。
Sincerly：Lee@Microsoft.com

添付ファイル名： Update.vbs