本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

IRC-Worm.DOS.Septic

クラス IRC-Worm
プラットフォーム DOS
説明

技術的な詳細

これは、mIRCスクリプトプログラムを使用してmIRCチャネルを介して拡散し、インターネットブラウザが感染したHTMLページを読み取ったときにリモートコンピュータに感染するようにHTMLファイルに影響を与えようとするウイルスワームです。

このウイルスは毎月1日と2日に現れます。メッセージを表示し、ビデオエフェクトを実行します。 VGA機能を使用することにより、ウイルスはモニタの色を白黒黒から白黒に戻すように変えます。メッセージは次のとおりです。

1日目:
あなただけの夢の中で、あなたは本当に無料です!
〜+ DarK.MeSsiAh +〜SeptiCによって書かれた[TI]
2日目:
純粋な悪は内から来る! 〜+ DarK.MeSsiAh +〜
SeptiC [TI]によって書かれている

ウイルスは、ウイルス感染ルーチンを無効にする「保護」もサポートしています。ウイルスコピーが実行されると、C:_VAC.TXTファイルが検索され、そのファイルが存在する場合はすぐにホストプログラムに戻ります。ウイルスはまた、メッセージをここに表示します:


あなたはdevine powerによって保護されています
〜+ DarK.MeSsiAh +〜はあなたのファイルに触れません

DOS COMとEXE感染者

ウイルスの主な部分は、通常の寄生虫DOSファイル感染者です。ウイルスは暗号化されており、感染ファイルが実行されると、暗号化ループはウイルスコードを暗号化されていない形式に復元し、メインウイルスルーチンにジャンプします。その後、ウイルスはDOS COMとEXEファイルを検索し、感染させます。感染中、ウィルスはコードを暗号化してファイルの最後に書き込み、ファイルヘッダーを変更します。

ウイルスはファイルを検索し、カレントディレクトリ、親ディレクトリ、C:からG:までのすべてのドライブのディレクトリツリーに感染させます。ウイルスはファイル名をチェックし、感染しません:COMMAND、?GA *、?? NP *、GW * files; MI *(MIRC.EXE、MIRC32.EXE)ファイルが見つかった場合は、mIRCスクリプト感染ルーチンを実行します。ウイルスはF:*、TO *、TB *、SC *、AV *(F-PROT、TBAV、SCAN、AVP)などのウイルス対策ファイルを破損します。感染ファイルが実行される:


〜+ DarK.MeSsiAh +〜DarKnessのデジタルタッチ! SeptiC [TI]によって書かれている

ウイルスは、ANTI-VIR.DATファイルが存在する場合は削除します。

BATファイルへの感染

ウイルスはBATファイルとHTMLファイルも検索し、同じディレクトリに感染させます。このウイルスは、BATファイルに感染している間に、DOSの "dir"コマンドを2つの命令セットに置き換えたファイルDOSコマンドの最後に書き込みます。最初はウイルスドロッパーPORNO.COMを実行し、2つ目はDOS "dir" 。その結果、任意の "dir"命令でウィルスドロップが実行されます。

ウイルスは、WindowsのCommandディレクトリにドロッパーファイルPORNO.COMを作成します。このディレクトリを見つけるために、ウイルスは3つの亜種を試します:


C:WINDOWSCOMMAND
C:WIN95COMMAND
C:WIN98COMMAND

いずれかが有効でない場合、このファイルはカレントディレクトリにドロップされます。その後、ウイルスはC:AUTOEXEC.BATファイルを開き、他のBATファイルと同じ方法で感染させます。

HTMLファイルへの感染

HTMLファイルを感染させている間、ウイルスは同じディレクトリに感染したDropperをPATCH.COMの名前で作成し、HTMLファイルの最後にメッセージを表示する短いHTMLコマンドセットを追加します。


最新のパッチをダウンロード!
ここをクリック!

「ここをクリック!」このリンクが有効になっている場合、PATCH.COMウイルス駆除ツールをダウンロードして実行するリンクです。その結果、感染したHTMLページは、アップグレードをダウンロードするが、代わりにウイルスコードを広げるウイルステキストで「続行」されます。

mIRCスクリプト

このウイルスは、システムにインストールされているmIRCクライアントを探し、同じディレクトリに新しいSCRIPT.INIファイルを作成します。このウイルスは6つのディレクトリでmIRCを探し、ディレクトリが見つからない場合はmIRCコンポーネントを削除しません。


C:MIRC
C:MIRC32
C:PROGRAMMIRC
C:PROGRAMMIRC32
C:PROGRA〜1MIRC
C:PROGRA〜1MIRC32

mIRCクライアントに感染している間、このウイルスは他のmIRCウイルスと同じトリックを使います。標準のmIRCスクリプトファイルSCRIPT.INIを感染したもので上書きします。 mIRCクライアントが感染したスクリプトで始まる場合、このファイルを受け入れ、その指示に従います。

感染したSCRIPT.INIにはいくつかのコマンドが含まれています。主なものはウイルス送信命令です。ユーザーがファイルを送受信すると、ウイルスは感染したドロッパーファイルPORNO.COMをこのユーザーに送信します。

ウイルスはまた、チャンネルとそのチャンネルのユーザーにメッセージを送信します。感染したクライアントがIRCサーバーに接続すると、ウイルスは "SeptiC_dm"というニックネームを持つユーザーにメッセージを送信します。


私はあなたのしもべです!私は暗闇の熱狂者になった

チャネルD.のメッセージに「D.Messiah」という文字列が表示された場合、ウイルスはチャネル上のすべてのユーザに自身のメッセージを送信します。


あなただけの夢の中で、あなたは本当に無料です!
〜+ DarK.MeSsiAh +〜SeptiC [TI]によって書かれています

感染したユーザーに十分な特権がある場合、 "666"文字列で、ウイルスはチャネルのトピック(チャネルウィンドウのヘッダーに表示されます)を変更します。新しいトピック文字列は次のように表示されます。


〜+ DarK.MeSsiAh +〜DarKnessのデジタルタッチ! SeptiC [TI]によって書かれている

「祈り」テキストでは、ウイルスはチャンネルオペレータモードをこのテキストを投稿したユーザーに設定し、そのメッセージをチャンネルに送信します。


私は私のマスターに従ってください!長い生きた悪魔

「犠牲」テキストでは、感染したすべてのユーザーがメッセージでチャンネルから追い出されます。

あなたの言葉は私の命令です、力は悪魔に!


オリジナルへのリンク