影響を受けるシステム

• Microsoft OutlookをインストールしたMicrosoft Windowsを使っているシステム
• Microfot OfficeとICQがインストールされたMicrosoft Windowsを使っているシステム

概要

W32/Gonerは電子メールの添付ファイルとして、また、ICQのファイル転送機能を 経由して配布される悪意あるWindowsプログラムである。ユーザから見るとこのファイル (gone.scr)はWindows用スクリーンセーバに見える。W32/Gonerはユーザがこの"gone.scr" というファイルを実行したときにシステムに感染する。

説明

今朝遅く、CERT/CCはW32/Gonerという名で知られる新たな悪意あるコードに 関する報告を受け取り始めた。それ以降、このコードがインターネット 上でばらまかれているという報告がCERT/CCにどんどん来ている。

分析したところ、このコードは次のような特徴を持つ電子メールを通じて 広がりつつある。

Subject:        Hi!

Body:   How are you ?
        When I saw this screen saver, I immediately thought about you
        I am in a harry, I promise you will love it!

Attachment:gone.scr

いくつかのウィルス対策ベンダは、このコードがICQメッセージング プログラムを介して流布していることもあるようだと述べている。 W32/Gonerは、感染したユーザのコンタクトリストに登録された あらゆる"(その時点で)オンラインにいる"ユーザに対してファイル転送を 開始すると考えられている。受け取り側のユーザがこの転送を許可すれば、 このワームは自身のコピーを送りつける。

"gone.scr"というファイルが実行されると、このワームは斑点模様の 画面(a splash screen)となり、誤ったエラーメッセージを表示する。 こうすることでこのプログラムが適切なスクリーンセーバであるとユーザに 信じさせようとしているのである。(その裏側で)このワームは自身のコピー をWindowsのシステムディレクトリにコピーし(通常はC:\WINDOWS\SYSTEM32\ scr.exeまたはC:\WINNT\SYSTEM32\scr.exeとなる)、Windowsレジストリに 次のキーを追加することで、再起動時に自身が実行されるようにする。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ C:%WINDIR%\SYSTEM\gone.scr=C:\%WINDIR\SYSTEM\gone.scr

W32/Gonerは、自身をMicrosoft Outlookのアドレス帳に登録された すべてのアドレス並びにICQコンタクトリストに登録されたすべての オンラインユーザに送信することで自己流布を図る。

さらに、このワームは、さまざまなよく利用されるウィルス対策プログラムや セキュリティプログラムに関連するプロセスを探し、これを終了させる。 この悪意あるコードのターゲットとなっているのは次のプロセス/ファイル である。

APLICA32.EXE

ZONEALARM.EXE

ESAFE.EXE

CFIADMIN.EXE

CFIAUDIT.EXE

CFINET.EXE

PCFWallIcon.EXE

FRW.EXE

VSHWIN32.EXE

VSECOMR.EXE

WEBSCANX.EXE

AVCONSOL.EXE

VSSTAT.EXE

PW32.EXE

VW32.EXE

VP32.EXE

VPCC.EXE

VPM.EXE

_AVP32.EXE

_AVPCC.EXE

_AVPM.EXE

AVP32.EXE

AVPCC.EXE

AVPM.EXE

AVP.EXE

LOCKDOWN2000.EXE

ICLOAD95.EXE

ICMON.EXE

ICSUPP95.EXE

ICLOADNT.EXE

ICSUPPNT.EXE

TDS2-98.EXE

TDS2-NT.EXE

FEWEB.EXE

SAFEWEB.EXE

W32/Gonerがこうしたプログラムが動作しているのを検知すると、 そのプロセスを終了し、その実行コードのあるディレクトリの すべてのファイルを削除する。ファイルをすぐに削除できない場合は、 WININT.INIというファイルを作成し、これが再起動時にファイル群を 削除する。

また、W32/GonerはmIRCインターリレーチャットクライアントの サービス妨害(DoS)を行なうスクリプトもインストールしているようで あるという証拠もある。

影響

このワームはシステムにインストールされたウィルス対策ソフトウェアや セキュリティソフトウェアを無効にすることがある。

このワームが伝播する際、経由点となるホストや電子メールシステムが サービス妨害(DoS)状態に陥るサイトもありえる。

解決策

ウィルス対策ソフトウェアを使い、常に最新状態に保て

Appendix A. ベンダ情報

ウィルス対策ベンダ情報

Computer Associates