Email-Worm.VBS.Potok

技術的な詳細

これは、感染したコンピュータから感染したメッセージを送信することによって電子メールで広がるインターネットワームのファミリーです。拡散中、ワームはMS Outlookを使用し、MS Outlookアドレス帳に格納されているアドレスに自身を送信します。

このワームは、スクリプト言語「Visual Basic Sc​​ript」（VBS）で記述され、Windows Scripting Host（WSH）がインストールされているコンピュータでのみ動作します。 Windows 98およびWindows 2000では、WHSはデフォルトでインストールされます。ワームは、自身を広めるために、MS Outlookにアクセスし、その機能とアドレスリストを使用します。これはOutlook 98/2000でのみ利用可能であるため、これらのMS Outlookバージョンのいずれかがインストールされている場合にのみワームが広がります。

ワームは、ワーム自体であるVBSファイルが添付された電子メールメッセージとしてコンピュータに到着します。元のワームバージョンのメッセージには次のものが含まれています：

テーマ：新世代のドライバー。
メッセージ本文：

Microsoft hasCards、新しいドライバーを公開
すべてのタイプのビデオWindows 95/98 / NT / 2000 / XPでビデオ可。
あなたは添付文書でそれについて読むことができます。
最高の願い、マイクロソフト

添付ファイル名： "driver.doc .vbs"

ファイル拡張子（ ".vbs"）は空白で区切られており、表示されないことがあります。

システム設定によっては、実際の添付ファイル拡張子（.vbs）が表示されないことがあります。この場合、添付ファイルのファイル名は "DRIVER.DOC"と表示されます。

ワームは、ユーザーが（添付ファイルをダブルクリックすることにより）起動されると、「driver.doc .vbs」という名前でWINDOWSディレクトリに正確なコピーを作成します。

ワームはファイルシステムがNTFSであるかどうかをチェックし、そうでない場合は終了します。ファイルシステムがNTFSの場合、ワームはWINDOWSディレクトリにODBC.INIファイルを作成し、さらに4つのNTFSストリームを関連付けます。

ファイルシステムがNTFSの場合、ワームはWINDOWSディレクトリにODBC.INIファイルを作成し、さらに4つのNTFSストリームを関連付ける。

group – ユーザをシステムに追加する
mail – Outlookを使用してワームのコピーを送信する
メイン – ワームの主要部分
ユーザ – システムにユーザを追加する

その後、ワームは、ワームのすべての部分を1つのファイル（ "notepad.vbs"）にまとめて起動する一時ファイル（ "go.vbs"）を作成します。

NOTEPAD.VBSから起動されたこのワームの一部は、そのコピーをOutlookアドレス帳の最初の50個の電子メールアドレスに送信します。郵送後、ワームは、オペレーティングシステムがWindows 2000であるかどうかをチェックし、Windows 2000であるかどうかをチェックし、そうであれば、システムに「Lord_Nikon」という名前の新しいユーザーを追加します。