English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。
Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者（人間）による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部（画像、動画、フラッシュ等）は正しく翻訳されない場合があります。
Email-Worm.VBS.LoveLetter
| 検出日 | 05/05/2000 |
| クラス | Email-Worm |
| プラットフォーム | VBS |
| 説明 |
技術的な詳細これは、2000年5月の初めにグローバルな流行を引き起こしたインターネットワームです。このワームは、影響を受けるコンピュータから感染したメッセージを送信することによって電子メールで広がります。ワームは拡散中にMS Outlookを使用し、MS Outlookアドレス帳に格納されているすべてのアドレスに自身を送信します。その結果、感染したコンピュータは、MS Outlookの連絡先リストに保持されている数のアドレスに多くのメッセージを送信します。 このワームは、スクリプト言語「Visual Basic Script」（VBS）で記述されています。これは、Windows Scripting Host（WSH）がインストールされているコンピュータでのみ動作します。 Windows 98およびWindows 2000では、WHSはデフォルトでインストールされます。自身を広めるため、ワームはMS Outlookにアクセスし、その機能とアドレスリストをOutlook 98/2000のみで使用するため、これらのMS Oulookバージョンのいずれかがインストールされている場合にのみ感染を広げることができます。 ワームは実行時に、電子メールでそのコピーを送信し、システムに自身をインストールし、破壊的な処理を実行し、トロイの木馬プログラムをダウンロードしてインストールします。ワームは、mIRCチャネルを介して拡散する機能も備えています。 ワームは "著作権"文字列を含んでいます：
広がるワームは、ワーム自体であるVBSファイルが添付された電子メールメッセージとしてコンピュータに到着します。元のワームバージョンのメッセージは次のとおりです。 テーマ：ILOVEYOU ワームはMS Outlookを開き、アドレス帳にアクセスし、そこからすべてのアドレスを取得し、添付されたコピーを含むメッセージをすべてのユーザーに送信します（添付ファイルをダブルクリックすることにより）。メッセージの件名、本文、添付ファイル名は上記と同じです。 ワームは、自身をシステムにインストールします。 Windowsのディレクトリに以下の名前のコピーを作成します。 Windowsディレクトリ：WIN32DLL.VBS Windowsシステムディレクトリ：MSKERNEL32.VBS、LOVE-LETTER-FOR-YOU.TXT.VBS これらのファイルは、システムレジストリのWindows自動実行セクションに登録されます。
その結果、Windowsが起動するたびにワームは再起動されます。 ワームはまた、WindowsシステムディレクトリにHTMドロッパーを作成し、mIRCチャネルに広がりながら使用します（以下を参照）。このコピーの名前は次のとおりです。
トロイの木馬ファイルのダウンロードトロイの木馬プログラムをシステムにインストールするために、ワームはURLをInternet Explorerの開始ページに変更します。新しいURLはWebサイト（4つの変種の中からランダムに選択されたもの）を指し、エクスプローラがそこからEXEファイルをダウンロードするように強制します。そのファイルはWIN-BUGSFIX.EXEという名前を持ち、トロイの木馬プログラムです。次に、このファイルをシステムレジストリに自動実行セクションに登録します。
次回の実行時に、Internet Exlorerはトロイの木馬をダウンロードし、システムのダウンロードディレクトリに保存します。次のWindows起動時に、このトロイの木馬は制御を取得し、WINFAT32.EXEという名前でWindowsシステムディレクトリに自身をコピーします。 トロイの木馬がシステムにインストールされると、ワームはInternet Explorerの開始ページを空白に設定します（ "about：blank"）。 ダウンロードおよびインストールされたファイルは、パスワードを盗むトロイの木馬です。ローカルマシン名とIPアドレス、ネットワークログイン名とパスワード、RAS情報などを取得し、トロイの木馬ホストに送信します。分析されたサンプルは "mailme@super.net.ph"にメッセージを送信し、メッセージの件名は次のようになります。
IRCチャンネルへの広がりワームはローカルドライブをスキャンし、ファイルを探します：
これらのファイルの少なくとも1つがサブディレクトリにある場合、ワームは新しいSCRIPT.INIファイルをそこにドロップします。このファイルには、感染したIRCチャンネルに参加するすべてのユーザーにワームコピー（LOVE-LETTER-FOR-YOU.TXT.HTMファイル）を送信するmIRC命令が含まれています。 SCRIPT.INIファイルにコメントが含まれています。
IRCユーザーが感染したHTMLを受信すると、IRCダウンロードディレクトリにコピーされます。ワームは、ユーザーがそのファイルをクリックした場合にのみ、そのファイルからアクティブになります。ブラウザのセキュリティ設定では、スクリプトがディスクファイルにアクセスして警告メッセージを表示することができないため、ワームはこれを避けるためにトリックを使います。まず、ユーザーをだますメッセージを表示します。
ユーザーが実際に「はい」をクリックした場合、ワームはディスクファイルにアクセスし、自身をシステムにインストールします。 VBSコードをMSKERNEL32.VBS名のWindowsシステムディレクトリにドロップし、システムレジストリのWindows自動実行セクションに登録します。
「NO」が選択された場合、ワームはマウスの動きとキー入力イベントを傍受し、それ自身をリロードします。その結果、ユーザは、「はい」を押すまで無限ループで警告メッセージを受信する。 破壊的な行動ワームは利用可能なすべてのローカルドライブとマップされたドライブのサブディレクトリツリーをスキャンし、そこにすべてのファイルをリストアップし、ファイル名の拡張子に応じてアクションを実行します。
その他の変形ワーム自体はテキストスクリプトプログラムであり、テキストソース形式で配布されています。ワームのコードは、ハッカーによって簡単に変更される可能性があり、その結果、元のワームには多くの亜種が存在します。それらのほとんどはマイナーなリメイクであり、オリジナルのワームとはちょっと違っています。メッセージフィールドのテキスト、ファイル名、影響を受けるディスクファイルの拡張子（.BATや.INIなど）が異なります。 件名、メッセージ本文、および添付ファイル名は、以下のとおりです（最初のブロックは元のワームのバージョンに属します）。 件名/本文/添付名 わたしは、あなたを愛しています 私から来た添付のLOVELETTERを親切にチェックしてください。 LOVE-LETTER-FOR-YOU.TXT.vbs 母の日の注文の確認 お客様のクレジットカードに326.92ドルの請求を行いました 母の日のための特別なダイヤモンド。私たちは詳細な このメールへの請求書。添付ファイルを印刷して添付してください ハッピーマザーズの日をもう一度ありがとう！ mothersday@subdimension.com mothersday.vbs fwd：ジョーク |
オリジナルへのリンク |
|
| お住まいの地域に広がる脅威の統計をご覧ください |