Email-Worm.Win32.Valcard

親クラス: VirWare

ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。

クラス: Email-Worm

Email-Wormsは電子メールで広がります。ワームは、電子メールメッセージへの添付ファイル、またはネットワークリソース上のファイルへのリンク（例えば、侵害されたWebサイトやハッカー所有のWebサイト上の感染ファイルへのURL）として自身のコピーを送信します。最初のケースでは、感染した添付ファイルが開かれた（起動された）ときにワームコードがアクティブになります。 2番目のケースでは、感染ファイルへのリンクが開かれたときにコードが有効になります。どちらの場合も、結果は同じです：ワームコードが有効になっています。 Email-Wormは、感染した電子メールを送信するためにさまざまな方法を使用します。最も一般的なのは、Windows MAPI機能を使用するMS Outlookサービスを使用してワームのコードに組み込まれた電子メールディレクトリを使用してSMTPサーバーに直接接続することです。 Email-Wormsは、感染した電子メールが送信される電子メールアドレスを見つけるためにいくつかの異なるソースを使用しています：MS Outlookのアドレス帳ハードドライブに格納されたWABアドレスデータベース.txtファイル：ワームはテキストファイルのどの文字列メールボックスは、受信ボックス内の電子メールアドレスを扱います（一部の電子メールワームは、受信ボックスにある電子メールにも「返信」します）。多くのEメールワームは、上記のソースのうちの複数を使用します。 Webベースの電子メールサービスに関連付けられたアドレス帳など、電子メールアドレスの他のソースもあります。

プラットフォーム: Win32

Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム（Windows XP、Windows 7など）上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。

説明

技術的な詳細

これは、感染した電子メールに添付されたインターネット経由で拡散するウイルスワームです。ワーム自体は、約97Kbの長さのWindows PE EXEファイル（UPXで圧縮され、圧縮解除されたときに約132K）であり、Visual Basicで記述されています。

広がる

ワームは、感染したメッセージを送信するために、MS Outlookを使用し、Outlookアドレス帳にあるすべてのアドレスにメッセージを送信します。感染したメッセージは次のように表示されます。

サブジェクトは、次のバリアントからランダムに選択されます。

隠れファン
誰かがあなたを愛している
アフマからのロマンス
一目ぼれ
...睡眠者が目を覚まし、まだ夢を見ているとき...
私のものになって ？！
あなたはいつも
バレンタインおめでとう
私からあなたへ
あなたの永遠の夏は消えてはならない
私はこの種のキスよりも愛の兆しを表明することはできません
詩はエコーであり、影に踊りを求める
O、美しさ、今まで私はあなたを知らなかった！
ロマンチックなジェスチャー
おやすみなさい、甘い君主、そして天使の飛行はあなたを残りの部分に歌います

メッセージ本文に続いて「ユーザー名」が次のバリアントから選択されます。

バレンタインおめでとう
あなたが添付したカードが好きで、
あなたが同じ気持ちにならなくても。

二月の気持ち
それは再びその年の時です。
しかし、私はまだあなたにカードを控えているだけです。
バレンタインおめでとう
あなたが添付したカードが好きで、
あなたが同じ気持ちにならなくても。

こんにちは
私はあなたにこのカードを送る子供のように感じる
私はちょうどそれをやらなければならなかった。
バレンタインおめでとう
あなたが添付したカードが好きで、
あなたが同じ気持ちにならなくても。

...そして私が今までに取ったすべての呼吸は、
私が今まで泣いていたすべての涙、
私が望むすべての星は、
今まで何も見えなかった。
バレンタインおめでとう
あなたが添付したカードが好きで、

この人生では、大きなことはできません。
私たちは大きな愛で小さなことしかできません。
バレンタインおめでとう
あなたが添付したカードが好きで、
あなたが同じ気持ちにならなくても。

添付ファイル ：ValentineCard.exe

インストール

ユーザーが添付ファイルをクリックした場合にのみ、ワームは感染した電子メールからアクティブになります。その後、ワームは自身をシステムにインストールし、拡散ルーチンとペイロードを実行します。

インストール中、ワームは "ValentineCard.exe"という名前でWindowsシステムディレクトリに自身をコピーし、そのファイルをシステムレジストリの自動実行キーに登録します。

HKLMSoftwareMicrosoftWindowsCurrentVersionRun 14th =％SystemDir％ValentineCard.exe

％SystemDir％はWindowsのシステムディレクトリです。

ペイロード

ワームはインストールされると「not a first run」レジストリキーを書き込みます。

HKLMSoftwareMicrosoftWindowsCurrentVersionバレンタイン=真

このキーのプレゼンスに応じて動作します。バグのため、実行（最初の実行、2番目の実行、...）では、ワームは同じことを行います。「C：evil.jpg」を作成し、サウンドデータをそこに書き込んで開きます。ファイルの拡張子が間違っているため（ ".jpg"画像で、 ".wav"サウンドではない）、システムはそれを受け入れません。このファイルの名前が ".wav"に変更された場合、 "Somebody loves you"というフレーズが再生されます。

ワームはまた、 "C：1.wav"ファイルを作成し、そのウィンドウを開く必要があります（失敗します）。ワームのプログラムウィンドウには、移動するタイトルが必要です。

わたしは、あなたを愛しています ！

[バージョン情報]ボタンに、次のメッセージが表示されます。

フラッシュプレーヤー
Flash Player 4.0
コピーライト（C）1996-1999 Macromedia、Inc.
http://www.macromedia.com

木曜日に、WindowsはWindowsを再起動する必要があります。

も参照してください

お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com