親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Email-Worm
Email-Wormsは電子メールで広がります。ワームは、電子メールメッセージへの添付ファイル、またはネットワークリソース上のファイルへのリンク（例えば、侵害されたWebサイトやハッカー所有のWebサイト上の感染ファイルへのURL）として自身のコピーを送信します。最初のケースでは、感染した添付ファイルが開かれた（起動された）ときにワームコードがアクティブになります。 2番目のケースでは、感染ファイルへのリンクが開かれたときにコードが有効になります。どちらの場合も、結果は同じです：ワームコードが有効になっています。 Email-Wormは、感染した電子メールを送信するためにさまざまな方法を使用します。最も一般的なのは、Windows MAPI機能を使用するMS Outlookサービスを使用してワームのコードに組み込まれた電子メールディレクトリを使用してSMTPサーバーに直接接続することです。 Email-Wormsは、感染した電子メールが送信される電子メールアドレスを見つけるためにいくつかの異なるソースを使用しています：MS Outlookのアドレス帳ハードドライブに格納されたWABアドレスデータベース.txtファイル：ワームはテキストファイルのどの文字列メールボックスは、受信ボックス内の電子メールアドレスを扱います（一部の電子メールワームは、受信ボックスにある電子メールにも「返信」します）。多くのEメールワームは、上記のソースのうちの複数を使用します。 Webベースの電子メールサービスに関連付けられたアドレス帳など、電子メールアドレスの他のソースもあります。プラットフォーム: Win32
Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム（Windows XP、Windows 7など）上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。説明
技術的な詳細
これはWin32電子メールワームです。ワームには2つのコンポーネントがあります。
メインワームコンポーネントは、電子メールに添付された他のマシンに16個の異なる名前を持つEXEファイルとして自分自身を送信します（以下を参照）。広がりながら、MAPIを使用して電子メールに接続します。
また、メインコンポーネントは、ローカルディスクにVBSスクリプトヘルパ（ローカルネットワークワーム）を追加し、それを生成します。
主成分
感染したファイルが（感染したメッセージや他のソースから起動されると）起動すると、ワームは自身をWindowsディレクトリに "PCpower.exe"でコピーし、Windowsシステムディレクトリに "MyLinong.exe"という名前でコピーします。ワームは、Windowsシステムディレクトリに "MyLinong.VBS"ファイル（VBSヘルパー）をドロップします。
これらのファイルは、システムレジストリの自動実行キーに登録されます。
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
PCPower =％windir％PCpower.exe
MyLinong =％winsystemdir％MyLinong.exe
Linong =％winsystemdir％MyLinong.vbs
EXEファイルは2つのワームコピーで、再起動するたびにWindowsによってアクティブになります。 VBSファイルはVisualBasicスクリプトプログラムです（下記参照）。
広がる
広がるために、ワームは50個の最初のメッセージについて受信トレイをスキャンし、添付ファイルが少なくとも1つあるメッセージを取得し、感染したメッセージで応答します。感染したメッセージには、件名、本文、添付ファイルが16種類からランダムに選択されています。
添付ファイル名：
CFusion.Exe
PatchFusion.exe
MyLinong.Exe
夜のライトアップ
StarMild.exe
Kiss.Exe
Sexy.Exe
Popeye.exe
Olive.exe
BullBull.exe
Moly.exe
Lovely.exe
868879.exe
help.exe
BillGate
Mikropos
科目：
CFusionからの情報
あなたのCFusionにパッチを当てる
まだ覚えている
ライト・アップ・ザ・ナイト
男の選択
キスして
セクシーモデル
ポパイ漫画
オリーブ＆ポパイ
MyGirlFriend Dogs
マイガールフレンドの犬
スウィートラブリー
パスワード
助けが必要
ビル
Mikropos
メッセージ本文：
無料でCfusion Onlineをアップデートすることができます
あなたはCfusionを修正する準備はできていますか、更新してください
彼女は私のセクシーなLinongです
ライトアップザナイトパーティー...
あなたは男か女ですか？これは私たちのサイトからのスポンサーです。
あなたのガールフレンドまたはあなたのボーイフレンドにキスをする100の方法
あなたは彼女のようなセクシーな女の子を見たことがありますか？
新しいポパイの新しい漫画ネットワーク
オリーブとポパイ漫画
いい犬...
グッドドッグとスマートドッグ
私のIcq Friend SweetとLovely
ここヌードパスワードウェブサイトのリスト。それらのすべてがまだアクティブであり、そのうちのいくつかは死のパスワードです
何か手伝いましょうか ？インターネットでお金を得る。ヘルプを読むことができます
ビル..
Mikroposネットワークからの新しいMikroposソフトウェア
ペイロード
ワームは以下のディレクトリを作成します。
"C：Linong私はとても大好きです。
％nは0〜500の数字です（場合によっては、ディレクトリを作成できないため、ディレクトリ番号の上限は500未満になることがあります）。
ワームは次のメッセージを表示します。
私からのメッセージ
MyLinongにお誕生日おめでとう
まだ私を覚えています...
今日私はあなたにもう一度伝えたい
私は大好きです。
ちょっとユーザー、私に世界を教えてください助けてください
それは私が彼女をとても愛すること
こんにちは..私はあなたを愛しています。
しかし今日、私たちはGoodByeを永遠に
私は次の人生でUを待ちます。
VBSヘルパー
これは、VBS電子メールワーム「I-Worm.Linong」の変更であり、メインのEXEコンポーネントへのヘルパーとして機能します。
Windowsで実行すると（レジストリのRun = keyに登録されているため）、ローカルマシンのIPアドレスを取得し、サブネットをスキャンします（たとえば、ローカルマシンのIPが10.10.10.1である場合、ワームは、10.10.10.nというアドレスを使用してすべてのマシンに接続しようとします（nは1から254までの数字です）。
そのようなアドレスを持つマシンがある場合、ワームはC：ドライブへのアクセスを試み、そこに自分自身をコピーして次のディレクトリにコピーします。
"C："
"C：windowsstartm〜1programsstartup"
"C：windows"
"C：windowsstart menuprogramsstartup"
（このルーチンにはバグがあり、このワームはこれを実行できません）。
ワームは、感染マシンからEXEコンポーネントを送信しようとします。メッセージには次のものが含まれます。
件名：このメールの1つ
ボディ：真実のストーリー....
添付： mylinong.exe
（このルーチンにもバグがあり、ワーム自体が広がっていません）。
このワームは、「I-Worm.Linong」と同様に、以下を実行します。
％windows％mylinong.txt.shs
％windows％SYSTEMKern32Lin.vbs
％windows％Vbrun32DLL.vbs
％windows％SYSTEMmylinong.TXT.vbs
HKLMSoftwareMicrosoftWindowsCurrentVersionRunServices Vbrun32DLL =％windows％Win32DLL.vbs次に、このワームはHTAファイルを作成して開き、結果としてテキストを表示します。
わたしは、あなたを愛しています
Linong
あなたは私の愛の愛です、5173n1n3ty31gh7
ほぼ1年..ミス・U
01 * 29 ** 879
01 * 29 ** 868
* - *
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com