親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Virus
ウィルスは、ローカルマシンのリソース上で複製します。ワームとは異なり、ウイルスはネットワークサービスを使用して他のコンピュータに伝播したり侵入したりしません。感染したオブジェクトが何らかの理由でウイルス機能に関係なく他のコンピュータで有効になっている場合にのみ、ウイルスのコピーがリモートコンピュータに届きます。たとえば、アクセス可能なディスクに感染すると、ウイルスはネットワークリソースにあるファイルに侵入し、ウイルスは自身をリムーバブルストレージデバイスにコピーしたり、リムーバブルデバイス上のファイルに感染させたりします。ユーザーは感染した添付ファイル付きの電子メールを送信します。プラットフォーム: MSWord
Microsoft Word（MS Word）は一般的なワードプロセッサであり、Microsoft Officeの一部です。 Microsoft Wordファイルの拡張子は.docまたは.docxです。説明
技術的な詳細
このマクロウイルスには、感染文書（ "Document_Open"）とグローバルマクロ領域（NORMAL.DOT - "Document_Close"）に異なる自動名を持つ1つのマクロが含まれています。結果として、ウイルスは文書の開閉時に活性化される。感染したドキュメントのオープン時にグローバルマクロ領域に感染し、クローズ時に他のドキュメントに広がります。
感染すると、ウイルスはWordマクロのウイルス対策（ウイルス警告）を無効にし、Wordのメニュー「Tools / Macro」、「Tools / Customize ...」、「View / Toolbars」、「View / Status」も無効にしますバー"。
ウイルスには、感染した文書と感染していない文書を分離するためにウイルスによって使用されるコメント行があります。このテキストは次のように表示されます。
ジャック・イン・ザ・ボックス
ウイルスはワームの能力を持ち、IRCチャネルを介してそのコピーを広げます。これを行うために、ウイルスワームは、システムにインストールされているmIRCクライアントを探し、そこに新しいSCRIPT.INIファイルを作成します。このウイルスは、mIRCクライアントをC：MIRCという1つのディレクトリのみで検索し、他のディレクトリにインストールされている場合はmIRCに感染しません。 mIRCクライアントに感染すると、ウイルスはセキュリティ警告メッセージも無効にします。 IRCチャネルを介して自身を広めるために、ウイルスは感染した文書C：WINDOWSSTORY.DOCを送信します。この文書は、システムに感染するとウイルスによって作成されます。このウイルスは、現在の（感染した）文書をそこに保存するだけです。
このウイルススクリプトファイルには、チャンネルを介した拡散、メッセージの表示、スパムメッセージの送信、隠蔽など、多くの機能を実行する一連のmIRCコマンド（約4.5KbのmIRC命令）が含まれています。
ウイルスはそのコピー（STORY.DOCドキュメント）を3つのインスタンスで送信します。
インスタンス1. IRC経由で任意のファイルを受信すると、ウイルススクリプトは直ちに感染したSTORY.DOCファイルを送り返します。
このウイルスは、mIRCの通知リストを使用します。 mIRCクライアントの通知リストにはニックのリストが含まれており、これらのニックがネット上に表示されている場合、現在のクライアントに通知されます（通知を受け取ります）。影響を受けるmIRCクライアントにそのような人物が通知された場合、ウイルスは次の処理を実行します。このニックネームを通知リストから削除します。このニックネームからのすべてのメッセージを無視します。 5秒後にメッセージを送信し、15秒後にウイルスのコピー（感染したWord文書 - C：WINDOWSSTORY.DOC）が続きます。ニックネームに送信されるメッセージは、次のように表示されます。
ねえ、私は今話すことができませんが、私はあなたにこのファイルを送っていたがっています。それはあなたが読んでおかなければならない面白い話、そしてあなたを守るマクロもありますたくさんのウイルスから。ドキュメントを開いてマクロを有効にし、ifあなたはそれがウイルスを取り除くことに感染している
インスタンス3.任意のニックから「Invite」コマンドを受信すると、ウイルススクリプトは10秒以内にこのチャンネルに参加し、その人にメッセージを送信し、その後に同じ感染したSTORY.DOCファイルが続きます。
招待ありがとう私はちょっと忙しいので、今はあまり話せません。私はあなたがしたいと思った私が得たこのファイルを見てください。それは面白い話があり、それにマクロもあるマクロウイルスを駆除します。マクロを有効にするには、プロンプトが表示され、ウイルスをスキャンして駆除します。
ウイルスは、その活動についてもその作者に知らせるようです。 mIRCサーバに接続すると、ウィルスは通知リストに「SimpleSmn」ニックネームを追加します。影響を受けるmIRCは、そのようなニックネームがIRCネットに表示された場合に通知を受けます。感染したmIRCクライアントは、「SimpleSmn」ニックネームの人物がIRCネットに表示されたことを検出します。この場合、ウイルスはこのメッセージに「私はircにいる」というメッセージを表示し、オンラインで感染したコンピュータに関する情報を著者に伝えます。
「シンプリシティ」ニックネームの「通知」コマンドを入力すると、感染したコンピュータ上のC：ドライブがファイルサーバーとして（フルアクセスで）開きます。そのため、このウイルスにはバックドア機能があります。
IRCサーバーに接続すると、ウイルスはスクリプトを隠し、切断時に復元します。接続すると、SCRIPT.INIがC：MIRCディレクトリからC：WINDOWSSCRIPT1.INIファイルにコピーされ、mIRCクライアントに再ロードされた後、消去されますC：MIRCSCRIPT.INIの内容。切断すると、ウイルスはC：WINDOWSSCRIPT1.INIをC：MIRCSCRIPT.INIにコピーし、C：WINDOWSSCRIPT1.INIファイルを消去します。
影響を受けたクライアントがチャネル名に "help"または "nohack"サブストリングを持つチャネルを入力した場合、ウイルススクリプトはただちにこのチャネルを終了します。
このウイルスは、以下のいずれかの文字列を含むメッセージを送信する場合、チャネル上のすべてのユーザーからのメッセージを無効にします。
スクリプトワームウイルス感染ジャックボックスマクロStory.doc
感染したクライアントがカスタムIRCコマンド "/ BY"（スクリプトで追加）を入力すると、ウイルスは次のテキストを表示します。
Mirc Worm Jack-In-The-Boxシンプソンサイモンで
テキストが "Hi"、 "Hey"、または "Hello"の場合、ウイルスはオープンパブリックリレー機能を持つメールサーバーを持つウイルス対策およびその他のインターネットアドレスの1つを開きます。
mirc.com、georgecarlin.com、carrottop.com、anvdesign.net、symantec.com、drsolomon.com、www.bocklabs.wisc.edu、ebay.com
そこで許可されているSendMailシステムを探します。使用可能な場合、この電子メールサーバーを使用しているウイルスは、次のフィールドを含むスパムメッセージを送信します。
からのメール：Addr1@Addr2.comrcptに：Addr3to：Addr3from：Addr1@Addr2.com件名：RndTextメッセージ本文：Jack-In-The-Boxが再びポップアップしました！
Addr1とAddr2は8文字までのランダムに生成されたテキスト文字列であり、RndTextは50文字までのランダムに生成されたテキストであり、Addr3はリストからランダムに選択されます。
evrt@avp.comsamples@datafellows.comvirus_research@nai.comtech_support@nai.com
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com