本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Email-Worm.VBS.Newlove

クラス Email-Worm
プラットフォーム VBS
説明

技術的な詳細

これは"LoveLetter"インターネットワームの非常に危険な変形です。その前身 "LoveLetter"と同じように、 "NewLove"ワームはVisual Basic Sc​​ript言語で書かれ、ランダムな名前のVBSファイルとして広がります。ワームは自身をシステムにインストールし、MS Outlookアドレス帳にアクセスし、そこにリストされているすべてのアドレスに自身を送信します。

感染したメッセージの件名は「FW:」で始まり、最大30文字のランダムなテキストと次のリストからランダムに拡張されます。

Doc、Xls、Mdb、Bmp、Mp3、Txt、Jpg、Gif、Mov、Url、Htm、Txt

����������������

これは、添付ファイルの名前としても機能します。たとえば、次のようになります。

FW:VPAVQXCUUNGUFLTJSLNAUTQZJJUG.Bmp
FW:QKUPLSXOOIBPAGNENGIVPN.Mp3
FW:TNXSOVARRLESDJQHQJLYSQNWV.Mdb
FW:HBLHCJOFFZS.Mdb
FW:MGQMHOTKKEXLWCJAJ.Doc
FW:SMXSNUZRRKDRCJQGPIKXRQNWU.Mdb
FW:CWGCXE.Mp3

メッセージ本文は空であり、件名に同じファイル名でVBSファイルが添付されていますが、追加された拡張子は「.VBS」です。システム設定によっては、添付ファイル( ".vbs")の実際の拡張子が表示されないことがあります。この場合、上記のように添付ファイルのファイル名が表示されます(「FW:」は表示されません)。

添付ファイルがアクティブになると(例えばダブルクリックなどにより)、MS Outlookのアドレスベースからすべてのアドレスにそのコピーが送信されます。

その後、ワームはコンピュータを破壊します。すべてのローカルおよびマップされたディスクドライブをスキャンし、すべてのファイルをそのコピーで置き換え、ファイル名に ".VBS"拡張子を追加します(たとえば、COMMAND.COMはCOMMAND.COM.VBSになります)。その結果、すべてのアクセス可能なドライブ上のすべてのファイルが完全に破棄されます。

このため、ワームは一度だけ感染することができます。ワームはそのコピーをすべての利用可能なアドレスに送信し、その後コンピュータを破壊します。

このワームは、MS Outlookがシステムにインストールされている場合にのみ拡散することができます。ワームのペイロードルーチンは、コンピュータにインストールされている電子メールシステムとは独立して起動されます。ワームは、別の電子メールシステムがインストールされている場合、感染した電子メールを送信せず、コンピュータ上のすべてのファイルを破棄します。

ワームは多形です。各感染時に、コードにランダムなコメントを挿入します。このワームは、感染が広がるたびにこれを行い、その結果、そのサイズは世代によって異なります(現在のサイズの約60%)。たとえば、次のようになります。

第1世代:110Kb
第2世代:248Kb
第3世代:403Kb
第4世代:585Kb
第5世代:805Kb
第6世代:1040Kb

「純粋な」ワームコードのサイズは約5KBです。

このタイプのワームの保護は、すでにKasperskyによってリリースされています。 「AVP Script Checker」は新しいワームからシステムを保護し、感染を防ぎます。 Kasperky LabのWebサイトから "AVP Script Checker"をダウンロードすることを強くお勧めします。


オリジナルへのリンク