本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。
Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。
検出日 | 01/11/2002 |
クラス | Email-Worm |
プラットフォーム | VBS |
説明 |
技術的な詳細これは、バージョンに応じて異なる感染技術を使用するインターネットワームのファミリーです。 2つの "基本的な"ワーム、 "Lee.a"と "Lee.b"があります。前者はIRCチャネルを介して広がり、後者はMS Outlookを使用して感染した電子メールを送信します。他のワームのバージョンは、これらオリジナルのものの修正および/または組み合わせです。すべてのワームはVisual Basicスクリプト言語(VBS)で書かれています。 I-Worm.Lee.aこれは単純なワームです。感染したコンピュータと同じチャネルに接続されているコンピュータに感染ファイルを送信することにより、IRCチャネルを介して拡散します。 ワームは、ユーザによって起動されると、 "McAffe.vbs"という名前のWindowsシステムフォルダに自分自身をコピーします。次に、mIRCクライアントがインストールされているディレクトリを探し、このディレクトリにmIRCクライアント用のコマンドを含む "SCRIPT.INI"ファイルを作成します。ワームは、このファイルに、感染したコンピュータと同じチャネルに接続されているすべてのコンピュータに感染ファイルを送信するコマンドを書き込みます。 "SCRIPT.INI"ファイルを作成した後、システムレジストリにマークが作成されるので、このマークが存在する場合、ワームは "SCRIPT.INI"ファイルを作成しません。 ワームはペイロードルーチンを持っていません。 I-Worm.Lee.bこのワームは、感染したコンピュータから感染したメッセージを送信して電子メールで感染します。拡散中、ワームはMS Outlookを使用し、MS Outlookアドレス帳に格納されているすべてのアドレスに自身を送信します。その結果、感染したコンピュータは、同じ数のメッセージを、MS Outlookの連絡先リストに保持されている数のアドレスに送信します。 ウイルスは、Windows Scripting Host(WSH)がインストールされているコンピュータでのみ動作します。 Windwos 98とWindows 2000では、WHSはデフォルトでインストールされます。ワームは、自身を広めるために、MS Outlookにアクセスし、その機能とアドレス帳をOutlook 98/2000のみで使用するため、これらのMS Oulookバージョンのいずれかがインストールされているインスタンスでのみ感染を広げることができます。 広がるワームは、ワーム自体であるVBSファイルが添付された電子メールメッセージとしてコンピュータに到着します。元のワームバージョンのメッセージには、次の内容が含まれています。
ワームはMS Outlookを開き、アドレス帳にアクセスし、そこからすべてのアドレスを取得し、添付されたコピーを含むメッセージをすべてのユーザーに送信します。メッセージの件名、本文、添付ファイル名は上記と同じです。 感染したコンピュータから重複したメッセージが送信されるのを防ぐため、ワームはシステムレジストリにマークを作成します。このマークが存在する場合、ワームはメッセージを送信しません。 ワームはペイロードルーチンを持っていません。 I-Worm.Lee.cこのワームの亜種は "Lee.b"亜種に非常に近いです。コードにいくつかの変更と追加があります: 感染したメッセージには以下が含まれます:
ワームがアクティブになると、自身を "Picard.vbs"という名前のWindowsディレクトリにコピーし、このファイルを自動スタートセクションのシステムレジストリに登録します。
その結果、Windows起動時にワームがアクティブになります。 コメント文字列がコードの先頭に追加されます。
I-Worm.Lee.dこれは "Lee.a"と "Lee.b"の亜種です。感染したメッセージには以下が含まれます:
ウォームにはコードの最後にコメント文字列があります:
I-Worm.Lee.e"Lee.d"と同じですが、自動スタートセクションのシステムレジストリに自身を追加登録します:
その結果、Windows起動時にワームがアクティブになります。 感染したメッセージには以下が含まれます:
I-Worm.Lee.fこれは "Lee.c"のわずかな多型です。これには、ワームコード内の変数名をランダムに変更するルーチンが含まれています。 感染したメッセージには以下が含まれます:
|
オリジナルへのリンク |
|
お住まいの地域に広がる脅威の統計をご覧ください |