English
Russian
Japanese
LatAm
Türkiye
Brasil
France
Český
Deutschland
本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。
Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者（人間）による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部（画像、動画、フラッシュ等）は正しく翻訳されない場合があります。
Email-Worm.Win32.MTX
| クラス | Email-Worm |
| プラットフォーム | Win32 |
| 説明 |
技術的な詳細これはWin32システムで広まっているウイルスワームです。このウイルスは、Win32実行可能ファイルに感染し、感染した添付ファイルで電子メールメッセージを送信しようとします。また、影響を受けるシステム上で「プラグイン」をダウンロードして生成するバックドアコンポーネントをインストールします。ワームは、2000年9月〜10月に世界的な流行を引き起こしました。 このウイルスは珍しい構造をしています。スタンドアロンプログラム（ウイルス、電子メールワーム、バックドア）として実行される3つの異なるコンポーネントで構成されています。このウイルスは主なコンポーネントであり、ワームとバックドアプログラムは圧縮された形でコード内に保持されます。システムに感染すると、ウイルスはそれらを抽出して生成します。 ウイルス構造�=============== - virusウイルス� - >は、システムにWormとBackdoorをインストールし、 �インストール�はWin32実行可能ファイルを見つけて感染させます �と感染 �ルーチン� �--------------- �ワームコード� - >がファイルに展開され、スタンドアロンプログラムとして実行されます �（圧縮）� �--------------- �バックドアコード� - >がファイルに展開され、スタンドアロンプログラムとして実行されます �（圧縮する） L =============== - 感染したEXEファイル�=============== - �ファイルコード �とデータ �� �===============� �ウイルスコード： �--------------- ��インストール ��と感染 �+ ------------- + ��ワーム �+ ------------- + ��バックドア �L-------------- L =============== - ワームコードには、感染した電子メールメッセージの添付ファイルとして送信される、システムに感染するための必要なルーチンがすべて含まれているわけではありません（下記参照）。ワームは、ウイルスコンポーネントから "ヘルプ"を必要とし、ウイルスに感染して送信されます（ワームファイルはウイルスによって通常のファイルとして感染して送信されます）。そのような方法の理由は不明であるが、おそらくコンポーネントは異なる人々によって書かれている。 Virusコンポーネントには、次のテキスト文字列が含まれています。
ワームコンポーネントには、次のテキスト文字列が含まれています。
バックドアには次のテキストが含まれています。
ウイルスコンポーネントこのウイルスは、ファイルに感染する際に「Entry Point Obscuring」テクノロジを使用します。つまり、ウイルスはそのエントリーコードでファイルに影響を与えませんが、ファイルコードセクションの途中に "Jump Virus"命令を置き、検出と駆除手順をより複雑にします。結果として、対応する影響を受けたプログラムのブランチが制御を受け取った場合にのみ、ウイルスがアクティブになります。 ウイルスは暗号化されているため、まずコードが制御権を得たときに自身を復号化します。その後、ウィルスは、Win32カーネルをスキャンして、必要なWin32 API関数を探します。これを行うために、ウイルスはWin9x、WinNTおよびWin2000アドレスを試します。 このウイルスは、システム内でアクティブなウイルス対策プログラムを検索し、いずれかが検出された場合に終了します。ウイルスが注意を払うウイルス対策プログラムの一覧は、次のようになります。
次に、ウイルスはそのコンポーネントをシステムにインストールします。それらは解凍されてWindowsディレクトリにインストールされ、次に生成されます。 3つのファイルが作成され、隠し属性セットと以下の名前があります。
ウイルスは、Win32実行可能なPE EXEファイルを現在、一時、およびWindowsディレクトリに感染させて終了します。 ワーム感染したメッセージを送信するために、このワームは「ハッピー」インターネットワーム（別名Happy99、SKA）に初めて発見された技術を使用しています。 このワームは、WindowsシステムディレクトリのWSOCK32.DLLファイルに影響します。コードの構成要素をファイルの末尾に追加し、WSOCK32.DLLルーチンを「送信」します。その結果、ワームは影響を受けるコンピュータからインターネットに送信されるすべてのデータを監視します。 通常、WSOCK32.DLLファイルはワームの起動時に使用されており、書き込み用にロックされています。これを回避するために、ワームはWSOCK32.MTX名で元のWSOCK32.DLLのコピーを作成し、そのコピーに影響を与え、WININIT.INIファイルに "元のファイルを感染ファイルに置き換える"
「C：WINDOWSSYSTEM」はWindowsのシステムディレクトリの名前で、インストールされているWindowsディレクトリの名前によって異なる場合があります。 次の再起動時に、感染したWSOCK32が元のウイルスを置き換え、感染したマシンから送信されたデータにアクセスします。ワームは、訪問されたインターネットサイト（Web、ftp）とコンピュータから送信された電子メールメッセージに注意を払います。 このウイルスの非常に目に見える動作は、複数のインターネットサイトを訪問する機能を阻止するとともに、同じドメイン（アンチウィルスドメイン名）にメッセージを送信する機能を無効にするためです。ウイルスは、以下のように4文字の組み合わせで検出します。
ワームは、これらのドメインへの電子メールメッセージの送信も許可しません。
ワームは、送信された電子メールメッセージを傍受し、感染した添付ファイルを含む重複したメッセージを同じアドレスに送信しようとします（「ハッピー」ワームと同じです）。結果として、犠牲者アドレスは2つのメッセージを受け取るはずです。最初は、送信者によって書き込まれた元のメッセージです。次に、空の件名とテキスト、および現在の日付に応じてワームによって選択された名前の1つを持つ添付ファイルを含むメッセージが表示されます。
添付ファイルとして、ワームはウイルスコンポーネントによって削除されたWIN32.DLLファイルを使用します。 注意：ワームはWIN32.DLLファイルを削除しませんが、そのファイルを使用して送信されたメッセージに添付します。したがって、「純粋なワーム」は1回以上感染することはできません。被害者マシンで実行されると、ワームはWSOCK32.DLLに感染しますが、そのコピーをさらに送信することはできません。ワームは、この問題を「修正する」ために、感染したコピーを送信します（WIN32.DLLはウイルスコンポーネントに感染したワームコンポーネントです、上記参照）。 既知のワームの改変には、その普及過程にバグがあり、多くの場合、感染したマシンから影響を受けるメッセージを受信できない場合があります。それにもかかわらず、システムにダイヤルアップ接続がある場合、またはメールサーバーが十分に速い場合、ワームは問題なくコピーを送信します。 バックドア実行中、Backdoorコンポーネントは、マシンがすでに感染していることを示す新しいレジストリキーをシステムレジストリに作成します。
このキーが存在する場合、バックドアはインストール手順をスキップします。それ以外の場合は、自動実行セクションに自身を登録します。
％WinDir％はWindowsディレクトリです。 バックドアは、隠されたアプリケーション（サービス）としてWindowsでアクティブのままで、一部のインターネットサーバーに接続し、そこからファイルを取得し、システムにそれらを生成するルーチンを実行します。そのため、バックドアはシステムに他のウイルスを感染させたり、トロイの木馬プログラムやより機能的なバックドアをインストールすることができます。 既知のウイルスバージョンのこのコンポーネントには、バックドアがインターネットサイトにアクセスしようとしたときに、アプリケーションのエラーに関するWindowsメッセージを標準で発生させるバグもあります。 |
オリジナルへのリンク |
|