IRC-Worm.MSWord.Anumps

技術的な詳細

このワームはIRCチャネルを介して拡散し、MS Word文書に感染します。ウイルス自体は、Mumpsという名前のマクロを含むWord文書です。

インストール

ファイルを開くと、ファイルは次のようになります。

• マクロメニューのセキュリティメニューを無効にしようとします。
• Windowsシステムレジストリ内のマクロをアクティブにする禁止を無効にする
• C：WindowsディレクトリにMumps.drvという名前のファイルを作成し、マクロのコードをこのファイルに書き込みます。このファイルは、開いているすべてのWord文書を感染させるために使用されます
• アクティブなドキュメントを次の名前でハードドライブに保存します。

 C：WindowsFAQ.doc
 C：プログラムファイルMicrosoft OfficeOfficeSTARTUPMumps.dot 

• IRC経由の伝播を開始します。

IRCによる伝播

ワームは、script.iniファイルという名前のファイルを変更します。つまり、ファイルC：WindowsFAQ.docは、感染したコンピュータが使用するチャネルのすべてのユーザーに自動的に送信されます。

感染の徴候

ユーザーがHelpAboutメニューを開こうとすると、ワームは文書の背景色を濃い青色に変えます。文字は白で表示されます。また、次のテキストを表示するnotepad.exeを開きます。

 "Windowsのメモリが不足しています.Windowsを再起動してください....." 

ユーザーが現在の文書を印刷しようとしていて、システム時計が59秒間表示されている場合は、次のテキストのメッセージボックスが表示されます。

 "あなたのプリンタドライバはWindowsと互換性がありません。別のプリンタドライバをインストールしてください。" 

ユーザーがマクロのコードを表示したり、ToolsMacroメニューを開くと、次のテキストのメッセージボックスが表示されます。

 「この機能に何か問題があります...」 

その他

ワームは、Microsoft Outlook 5.0の既定のシグネチャとしてC：WindowsFAQ.docをシステムレジストリに登録しようとします。ファイルは自動的にすべての送信メールに追加されます。