WORM_KLEZ.E & WORM_KLEZ.H
最近最も猛威を振るっているワーム型ウィルス。今回のはかなり悪質なウィルスです。
実行されるとWindowsのシステムフォルダにWINK*.exe（「*」は無作為な文字列。例：WINKabc.exe）のファイル名で自身のコピーを作成し、
WindowsNT系OSではサービスとしてシステムに登録します。Windows9x系OSではWindowsのレジストリに登録しWindows起動時に自動実行されるよう設定します。
活動内容は「ネットワーク経由でのワーム活動」、「ウイルス対策ソフトの停止」、そして「E-Mailでのワーム活動」を行います。
このウィルスの中で最も悪質なのがこの「E-Mailでのワーム活動」です。
ワームはWindowsのアドレス帳とローカルドライブ内にある
拡張子MP8, EXE, SCR, PIF, BAT, TXT, HTM, HTML. WAB, DOC, XLS, CPP, C, PAS, MPQ, MPEG, BAK, MP3のファイルを調べてメールアドレスを取得します。
ワームは取得したメールアドレスに対して自身のコピーを添付したメールを送付します。
ワームはSMTPでメール送信を行う機能を持っており、感染者のメールクライアントなどに送信履歴が残ることはありません。
これは自分や送信した相手だけでなく、全く関係無い人も被害に遭う恐れがあります。→[簡単な図解]
勿論の如くこちらにもウィルスは来ています。
心当たりのある方や心配な方、感染した事に自覚症状を持ってない方は今すぐウィルスチェックを使うか、対策ツールを使う事を強くお勧めします。
WORM_ALIZ.A & WORM_BADTRANS.B
１１月末から猛威を振るっているこの２つのウィルス。
両方ともInternet Explorerにセキュリティホールがある場合、 メールをプレビューしただけでウイルスが活動を始めます。
不審な添付ファイルを実行しないとともに、Internet Explorerのセキュリティホールをふさぐようにしてください。
「WORM_ALIZ.A」の方は本文「Peace.」、添付ファイル名「WHATEVER.EXE」のメールで送られてきます。
もう一つ、「WORM_BADTRANS.B」の方は本文が空白で、添付ファイルが二重拡張子のファイル名（＜ファイル名＞.＜拡張子1＞.＜拡張子2＞）のメールで送られてきます。
特にこの「WORM_BADTRANS.B」が猛威をふるっている様です。
先日来たメールだけでも１６通くらいは届いてます。
とにかく、心当たりのある方は至急ウィルスチェックをしてください。
WORM_FBOUND.C
最近流行始めたワームウィルス。部類としては珍しい（？）日本語ウィルスです。
感染したら自身のコピーを電子メールに添付して任意の宛先に送信し、ネットワーク上で自己増殖するワーム活動を行います。
しかもこのウィルス、厄介な事に件名が普通に紛れ込んでもおかしくは無い件名なのです。
「重要」、「お久しぶりです」、「極秘」、「こんにちは」、「資料」などなど…。
けど、流石に「うんこ」や「蛙」は普通開かないと思いますが…。
HYBRIS
先月、HYBRISに関する記事を載せたのですが、それ以来ウィルス被害は収まったかと思いきや、逆に被害を広めています。いろいろな方からHYBRISウィルスが入った匿名メールが何通も来ているという報告を頂いています。
HYBRISは起動されたマシン上でインターネットへのアクセスを監視し、感染後に送ったメールの宛先や、メールを頂いた方のメールの宛先全てに勝手にこのHYBRISウィルスが添付され、匿名メールとして送られます（※１）。
このウイルスは自ら機能を拡張するため、インターネット接続中にプラグインをダウンロードし、組み込もうとします。ですが、接続先サイトの問題からかこのプラグインによる発病機能は正常に動作しないことが多いようです。
このプラグインはどんなモノかはわかりませんが、トレンドマクロ社で確認されているのは現在の所デスクトップに白黒のウズマキを表示する"TROJ_HYBRIS_P33"です。しかし、このプラグインだけがダウンロードされるとは限りません。全て全貌されてないので、このウィルスがパソコンが使えなくなるように活動する可能性は否定できないのです。
HYBRISウィルスは感染されてもユーザーの気付かれてない所で活動を行うので自覚性が全くなく、この文章を見て「あー、自分は感染されてないから安心だ」と言う方でも感染されてる可能性はあります。とりあえず、感染してるかどうかを確認するにはWsock32.dllのファイルサイズを確認するか、修復ツールを使用もしくはオンラインスキャンでウイルス検索をしてみてください。
※１：言語によっては送信者が"Hahaha"という、内容が書かれてあるメールが届きます。感染されていたら速やかにWsock32.dllをオリジナルファイルと交換する（※２）か、修復ツールを使用し、ウィルスを駆除してください。
※２：Win98の場合、システムファイルチェッカーを利用すればウィルスの削除が可能です。感染されていたなかったとしても、今後あなたにもこのHYBRISの入ったウィルスメールが来る可能性は十分にあります。確認方法はまず匿名メールで、添付ファイルが"８文字アルファベット(ランダム)+.EXE"です。ex:FGRRTECA.EXE
この様なメールが来たら、exeファイルを開かず必ずメールを削除するようにしてください。要は添付ファイルを実行しなければ感染はしません。もし、メールが頻繁に来るようになっても、誰かに攻撃されているのではなく、その感染者が気付いてないだけなので、そんなに心配しなくてもいいです;)また、感染メールの前後の差出人が感染者とはかぎりません。HYBRISは時間差で勝手に送信されるので、ウィルスだけが送られる事もあります。
参考文献
・トレンドマイクロ社
http://inet.trendmicro.co.jp/virusinfo/important.htm#TROJHYBRISA
http://inet.trendmicro.co.jp/virusinfo/default3.asp?VName=TROJ_HYBRIS.A・情報処理新興事業協会
http://www.ipa.go.jp/security/topics/hybris.html・リムネットサポート
http://www.rim.or.jp/sp/rim/announce/article/sp_virus010130.html#ちなみに自分宛にもHYBRISメールが来ています。
#昨年の12/30以降にメールを送られた方（勿論、WebNetworkのナビゲーションバー設置完了報告者も含む）に感染者がいる可能性がありますので、心当たりのある人は一刻も早くウィルス確認をする事をオススメします。
その他のワームウィルスリンク→ WORM_FBOUND.C w32@nimda