Email-Worm.VBS.Newlove

技術的な詳細

これは"LoveLetter"インターネットワームの非常に危険な変形です。その前身 "LoveLetter"と同じように、 "NewLove"ワームはVisual Basic Sc​​ript言語で書かれ、ランダムな名前のVBSファイルとして広がります。ワームは自身をシステムにインストールし、MS Outlookアドレス帳にアクセスし、そこにリストされているすべてのアドレスに自身を送信します。

感染したメッセージの件名は「FW：」で始まり、最大30文字のランダムなテキストと次のリストからランダムに拡張されます。

Doc、Xls、Mdb、Bmp、Mp3、Txt、Jpg、Gif、Mov、Url、Htm、Txt

これは、添付ファイルの名前としても機能します。たとえば、次のようになります。

FW：VPAVQXCUUNGUFLTJSLNAUTQZJJUG.Bmp
FW：QKUPLSXOOIBPAGNENGIVPN.Mp3
FW：TNXSOVARRLESDJQHQJLYSQNWV.Mdb
FW：HBLHCJOFFZS.Mdb
FW：MGQMHOTKKEXLWCJAJ.Doc
FW：SMXSNUZRRKDRCJQGPIKXRQNWU.Mdb
FW：CWGCXE.Mp3

メッセージ本文は空であり、件名に同じファイル名でVBSファイルが添付されていますが、追加された拡張子は「.VBS」です。システム設定によっては、添付ファイル（ ".vbs"）の実際の拡張子が表示されないことがあります。この場合、上記のように添付ファイルのファイル名が表示されます（「FW：」は表示されません）。

添付ファイルがアクティブになると（例えばダブルクリックなどにより）、MS Outlookのアドレスベースからすべてのアドレスにそのコピーが送信されます。

その後、ワームはコンピュータを破壊します。すべてのローカルおよびマップされたディスクドライブをスキャンし、すべてのファイルをそのコピーで置き換え、ファイル名に ".VBS"拡張子を追加します（たとえば、COMMAND.COMはCOMMAND.COM.VBSになります）。その結果、すべてのアクセス可能なドライブ上のすべてのファイルが完全に破棄されます。

このため、ワームは一度だけ感染することができます。ワームはそのコピーをすべての利用可能なアドレスに送信し、その後コンピュータを破壊します。

このワームは、MS Outlookがシステムにインストールされている場合にのみ拡散することができます。ワームのペイロードルーチンは、コンピュータにインストールされている電子メールシステムとは独立して起動されます。ワームは、別の電子メールシステムがインストールされている場合、感染した電子メールを送信せず、コンピュータ上のすべてのファイルを破棄します。

ワームは多形です。各感染時に、コードにランダムなコメントを挿入します。このワームは、感染が広がるたびにこれを行い、その結果、そのサイズは世代によって異なります（現在のサイズの約60％）。たとえば、次のようになります。

第1世代：110Kb
第2世代：248Kb
第3世代：403Kb
第4世代：585Kb
第5世代：805Kb
第6世代：1040Kb
等

「純粋な」ワームコードのサイズは約5KBです。

このタイプのワームの保護は、すでにKasperskyによってリリースされています。 「AVP Script Checker」は新しいワームからシステムを保護し、感染を防ぎます。 Kasperky LabのWebサイトから "AVP Script Checker"をダウンロードすることを強くお勧めします。