本サービスには一部、Googleの支援により翻訳されたコンテンツが含まれます。Googleは、明示または黙示を問わず、市場性、特定目的への適合性、ならびに非侵害の黙示的保証を含む、翻訳の精度、信頼性、正確性に関連するあらゆる点において保証しません。

Kaspersky Labの本Webサイトは、便宜上、Google Translateを搭載した翻訳ソフトウェアを利用して翻訳されています。正確な翻訳となるよう合理的な努力を払ってはおりますが、自動翻訳の正確性は完全ではなく、翻訳者(人間)による翻訳に代わるものとして意図されているものでもありません。翻訳はKaspersky Labの本Webサイトをご利用の皆様の利便性を図るためのものであり、「翻訳結果をそのまま」ご提供するものです。英語からその他言語への翻訳における精度、信頼性、正確性に関しては、明示または黙示を問わず、いかなる保証もなされません。翻訳ソフトウェアのため、コンテンツの一部(画像、動画、フラッシュ等)は正しく翻訳されない場合があります。

Virus.MSWord.Story

クラス Virus
プラットフォーム MSWord
説明

技術的な詳細

このマクロウイルスには、感染文書( "Document_Open")とグローバルマクロ領域(NORMAL.DOT – "Document_Close")に異なる自動名を持つ1つのマクロが含まれています。結果として、ウイルスは文書の開閉時に活性化される。感染したドキュメントのオープン時にグローバルマクロ領域に感染し、クローズ時に他のドキュメントに広がります。

感染すると、ウイルスはWordマクロのウイルス対策(ウイルス警告)を無効にし、Wordのメニュー「Tools / Macro」、「Tools / Customize …」、「View / Toolbars」、「View / Status」も無効にしますバー"。

ウイルスには、感染した文書と感染していない文書を分離するためにウイルスによって使用されるコメント行があります。このテキストは次のように表示されます。


ジャック・イン・ザ・ボックス

ウイルスはワームの能力を持ち、IRCチャネルを介してそのコピーを広げます。これを行うために、ウイルスワームは、システムにインストールされているmIRCクライアントを探し、そこに新しいSCRIPT.INIファイルを作成します。このウイルスは、mIRCクライアントをC:MIRCという1つのディレクトリのみで検索し、他のディレクトリにインストールされている場合はmIRCに感染しません。 mIRCクライアントに感染すると、ウイルスはセキュリティ警告メッセージも無効にします。 IRCチャネルを介して自身を広めるために、ウイルスは感染した文書C:WINDOWSSTORY.DOCを送信します。この文書は、システムに感染するとウイルスによって作成されます。このウイルスは、現在の(感染した)文書をそこに保存するだけです。

このウイルススクリプトファイルには、チャンネルを介した拡散、メッセージの表示、スパムメッセージの送信、隠蔽など、多くの機能を実行する一連のmIRCコマンド(約4.5KbのmIRC命令)が含まれています。

ウイルスはそのコピー(STORY.DOCドキュメント)を3つのインスタンスで送信します。

インスタンス1. IRC経由で任意のファイルを受信すると、ウイルススクリプトは直ちに感染したSTORY.DOCファイルを送り返します。

このウイルスは、mIRCの通知リストを使用します。 mIRCクライアントの通知リストにはニックのリストが含まれており、これらのニックがネット上に表示されている場合、現在のクライアントに通知されます(通知を受け取ります)。影響を受けるmIRCクライアントにそのような人物が通知された場合、ウイルスは次の処理を実行します。このニックネームを通知リストから削除します。このニックネームからのすべてのメッセージを無視します。 5秒後にメッセージを送信し、15秒後にウイルスのコピー(感染したWord文書 – C:WINDOWSSTORY.DOC)が続きます。ニックネームに送信されるメッセージは、次のように表示されます。


ねえ、私は今話すことができませんが、私はあなたにこのファイルを送っていたがっています。それは
あなたが読んでおかなければならない面白い話、そしてあなたを守るマクロもあります
たくさんのウイルスから。ドキュメントを開いてマクロを有効にし、if
あなたはそれがウイルスを取り除くことに感染している

インスタンス3.任意のニックから「Invite」コマンドを受信すると、ウイルススクリプトは10秒以内にこのチャンネルに参加し、その人にメッセージを送信し、その後に同じ感染したSTORY.DOCファイルが続きます。


招待ありがとう
私はちょっと忙しいので、今はあまり話せません。私はあなたがしたいと思った
私が得たこのファイルを見てください。それは面白い話があり、それにマクロもある
マクロウイルスを駆除します。マクロを有効にするには、
プロンプトが表示され、ウイルスをスキャンして駆除します。

ウイルスは、その活動についてもその作者に知らせるようです。 mIRCサーバに接続すると、ウィルスは通知リストに「SimpleSmn」ニックネームを追加します。影響を受けるmIRCは、そのようなニックネームがIRCネットに表示された場合に通知を受けます。感染したmIRCクライアントは、「SimpleSmn」ニックネームの人物がIRCネットに表示されたことを検出します。この場合、ウイルスはこのメッセージに「私はircにいる」というメッセージを表示し、オンラインで感染したコンピュータに関する情報を著者に伝えます。

「シンプリシティ」ニックネームの「通知」コマンドを入力すると、感染したコンピュータ上のC:ドライブがファイルサーバーとして(フルアクセスで)開きます。そのため、このウイルスにはバックドア機能があります。

IRCサーバーに接続すると、ウイルスはスクリプトを隠し、切断時に復元します。接続すると、SCRIPT.INIがC:MIRCディレクトリからC:WINDOWSSCRIPT1.INIファイルにコピーされ、mIRCクライアントに再ロードされた後、消去されますC:MIRCSCRIPT.INIの内容。切断すると、ウイルスはC:WINDOWSSCRIPT1.INIをC:MIRCSCRIPT.INIにコピーし、C:WINDOWSSCRIPT1.INIファイルを消去します。

影響を受けたクライアントがチャネル名に "help"または "nohack"サブストリングを持つチャネルを入力した場合、ウイルススクリプトはただちにこのチャネルを終了します。

このウイルスは、以下のいずれかの文字列を含むメッセージを送信する場合、チャネル上のすべてのユーザーからのメッセージを無効にします。


スクリプトワームウイルス感染ジャックボックスマクロStory.doc

感染したクライアントがカスタムIRCコマンド "/ BY"(スクリプトで追加)を入力すると、ウイルスは次のテキストを表示します。


Mirc Worm Jack-In-The-Box
シンプソンサイモンで

テキストが "Hi"、 "Hey"、または "Hello"の場合、ウイルスはオープンパブリックリレー機能を持つメールサーバーを持つウイルス対策およびその他のインターネットアドレスの1つを開きます。


mirc.com、georgecarlin.com、carrottop.com、anvdesign.net、symantec.com、
drsolomon.com、www.bocklabs.wisc.edu、ebay.com

そこで許可されているSendMailシステムを探します。使用可能な場合、この電子メールサーバーを使用しているウイルスは、次のフィールドを含むスパムメッセージを送信します。


からのメール:Addr1@Addr2.com
rcptに:Addr3
to:Addr3
from:Addr1@Addr2.com
件名:RndText
メッセージ本文:Jack-In-The-Boxが再びポップアップしました!

Addr1とAddr2は8文字までのランダムに生成されたテキスト文字列であり、RndTextは50文字までのランダムに生成されたテキストであり、Addr3はリストからランダムに選択されます。


evrt@avp.com
samples@datafellows.com
virus_research@nai.com
tech_support@nai.com


オリジナルへのリンク