Email-Worm.Win32.Bagle

親クラス: VirWare

ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。

クラス: Email-Worm

Email-Wormsは電子メールで広がります。ワームは、電子メールメッセージへの添付ファイル、またはネットワークリソース上のファイルへのリンク（例えば、侵害されたWebサイトやハッカー所有のWebサイト上の感染ファイルへのURL）として自身のコピーを送信します。最初のケースでは、感染した添付ファイルが開かれた（起動された）ときにワームコードがアクティブになります。 2番目のケースでは、感染ファイルへのリンクが開かれたときにコードが有効になります。どちらの場合も、結果は同じです：ワームコードが有効になっています。 Email-Wormは、感染した電子メールを送信するためにさまざまな方法を使用します。最も一般的なのは、Windows MAPI機能を使用するMS Outlookサービスを使用してワームのコードに組み込まれた電子メールディレクトリを使用してSMTPサーバーに直接接続することです。 Email-Wormsは、感染した電子メールが送信される電子メールアドレスを見つけるためにいくつかの異なるソースを使用しています：MS Outlookのアドレス帳ハードドライブに格納されたWABアドレスデータベース.txtファイル：ワームはテキストファイルのどの文字列メールボックスは、受信ボックス内の電子メールアドレスを扱います（一部の電子メールワームは、受信ボックスにある電子メールにも「返信」します）。多くのEメールワームは、上記のソースのうちの複数を使用します。 Webベースの電子メールサービスに関連付けられたアドレス帳など、電子メールアドレスの他のソースもあります。

プラットフォーム: Win32

Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム（Windows XP、Windows 7など）上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。

説明

ワームにはURLのリストが含まれており、ファイルの有無がチェックされます。

 http：//5050clothing.com***http：//axelero.hu***http：//calamarco.com***http：//ceramax.co.kr***http：//charlesspaans.com***http：//chatsk.wz.cz***http：//checkalertusa.com***http：//cibernegocios.com.ar***http：//cof666.shockonline.net***http：//comaxtechnologies.net***http：//concellodesandias.com***http：//dev.jintek.com***http：//dogoodesign.ch***http：//donchef.com***http：//erich-kaestner-schule-donaueschingen.de***http：//foxvcoin.com***http：//grupdogus.de***http：//hotchillishop.de***http：//ilikesimple.com***http：//innovation.ojom.net***http：//kisalfold.com***http：//knickimbit.de***http：//kremz.ru***http：//massgroup.de***http：//poliklinika-vajnorska.sk***http：//prime.gushi.org***http：//svatba.viskot.cz***http：//systemforex.de***http：//uwua132.org***http：//vanvakfi.com***http：//vega-sps.com***http：//vidus.ru***http：//viralstrategies.com***http：//Vivamodelhobby.com***http：//vkinfotech.com***http：//vproinc.com***http：//vv-kopretiny.ic.cz***http：//vytukas.com***http：//waisenhaus-kenya.ch***http：//watsrisuphan.org***http：//wbecanada.com***http：//web-comp.hu***http：//webfull.com***http：//welvo.com***http：//wvpilots.org***http：//www.ag.ohio-state.edu***http：//www.ag.ohio-state.edu***http：//www.chapisteriadaniel.com***http：//www.chittychat.com***http：//www.cort.ru***http：//www.crfj.com***http：//www.kersten.de***http：//www.kljbwadersloh.de***http：//www.voov.de***http：//www.walsch.de***http：//www.wchat.cz***http：//www.wg-aufbau-bautzen.de***http：//www.wzhuate.com***http：//xotravel.ru***http：//yeniguntugla.com***http：//zebrachina.net***http：//zsnabreznaknm.sk*** 

これらのアドレスのいずれかにファイルが見つかった場合、ファイルは被害者マシンにダウンロードされます。

 ％System％re_file.exe 

ファイルは実行のために起動されます。

たとえば、Email-Worm.Win32.Bagle.at：

1. セーフモードでマシンを再起動する - マシンがリブートしている間にF8を押したままにし、メニューが表示されたらセーフモードを選択します。
2. Windowsシステムフォルダから次のファイルを削除します。

 wingo.exewingo.exeopen wingo.exeopenopen 

3. Windowsシステムレジストリから次のキーを削除します。

 [HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun] "wingo" = "％system％wingo.exe" 

4. コンピュータを再起動し、感染した電子メールを電子メールクライアントのすべてのフォルダから削除したことを確認します。

も参照してください

お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com