製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報:B
ウイルス情報
ウイルス名危険度
W32/Bagle.ai@MM
企業ユーザ:
個人ユーザ:
種別ウイルス
最小定義ファイル
(最初に検出を確認したバージョン)
4379
対応定義ファイル
(現在必要とされるバージョン)
4379 (現在7537)
対応エンジン4.3.20以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日04/07/20
発見日(米国日付)04/07/19
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
08/20RDN/Download...
08/20W32/Agent!55...
08/20W32/Agent!09...
定義ファイル・エンジンの
ダウンロード!
  定義ファイル:7537
 エンジン:5600
 
ウイルス検索
 


ウイルスの特徴TOPに戻る
通常定義ファイルがリリースされるまでの間は以下のEXTRA.DATをお使いください。
EXTRA.DAT
SUPER EXTRA.DAT

・W32/Bagle.ai@MMは大量メール送信型ワームで、以下のような特徴があります。

  • 自身のSMTPエンジンを使用して電子メールメッセージを作成します。
  • ターゲットマシンから電子メールアドレスを収集します。
  • メッセージの差出人のアドレスを偽装します。
  • 添付ファイルはパスワード保護されたZIPファイルである場合があります。パスワードは本文に記載されています。
  • リモートアクセスコンポーネントが組み込まれています(ハッカーに通知が送信されます)。
  • 名前にsharという語句を含むフォルダ(KaZaa、Bearshare、Limewireなど一般的なピアツーピアアプリケーションのフォルダ)に自身をコピーします。
  • W32/Netskyの亜種が感染したマシン上で動作しないよう、W32/Netskyの亜種が使用しているmutexの名前から選択されたさまざまな名前を使用します。
  • セキュリティプログラム(および他のワーム)のプロセスを終了しようとします。
  • セキュリティプログラム(および他のワーム)のレジストリエントリーを削除します。
電子メールを介した繁殖

差出人:(アドレスを偽装)

件名:

  • Re:
本文:
  • >foto3 and MP3
  • >fotogalary and Music
  • >fotoinfo
  • >Lovely animals
  • >Animals
  • >Predators
  • >The snake
  • >Screen and Music
・W32/Bagle.ai@MMがパスワード保護されたZIPファイルで送信された場合、以下のような本文が追加されます。
  • Password: (ランダムな数字)
  • Pass - (ランダムな数字)
  • Key - (ランダムな数字)
添付ファイル:(.EXE, .SCR, .COM, .CPL または .ZIPの拡張子がつく)
  • MP3
  • Music_MP3
  • New_MP3_Player
  • Cool_MP3
  • Doll
  • Garry
  • Cat
  • Dog
  • Fish
・パスワード保護されたZIPファイルには2つ目の、以下のいずれかの拡張子のついたランダムに名前の付けられたファイルが入っています。
  • .ini
  • .cfg
  • .txt
  • .doc
  • .vxd
  • .def
  • .dll
インストール

・W32/Bagle.ai@MMは、WinXP.exeというファイル名でWindows Systemディレクトリに自身をコピーします。

  • C:\WINNT\SYSTEM32\WinXP.exe
・また、自身の機能を実行する他のファイルもこのディレクトリに作成します。
  • %SysDir% \WinXP.exeopen
  • %SysDir% \WinXP.exeopenopen
  • %SysDir% \WinXP.exeopenopenopen
  • %SysDir% \WinXP.exeopenopenopenopen
・以下のレジストリキーが追加されてシステム起動時にフックされます。
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Run "key" = %SysDir% \WinXP.exe
・W32/Bagle.ai@MMが一度に1回だけ動作するよう、mutexが作成されます。W32/Netskyの特定の亜種が感染マシンで動作しないよう、以下のいずれかのmutex名が使用されます。
  • 'D'r'o'p'p'e'd'S'k'y'N'e't'
  • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
  • [SkyNet.cz]SystemsMutex
  • AdmSkynetJklS003
  • ____--->>>>U<<<<--____
  • _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
・感染マシンの1080ポート(TCP)と1040ポート(UDP)を開きます。

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る
  • 感染マシンの1080ポート(TCP)と1040ポート(UDP)が開く。
  • 上記の内容と一致する送信メッセージが存在する。
  • 上記のようなファイルとレジストリキーが存在する。

感染方法TOPへ戻る
電子メールを介した繁殖

・W32/Bagle.ai@MMは、自身のSMTPエンジンを使用してメッセージを作成します。ターゲットマシンの以下の拡張子を持つファイルから、ターゲットになる電子メールアドレスを収集します。

  • .wab
  • .txt
  • .msg
  • .htm
  • .shtm
  • .stm
  • .xml
  • .dbx
  • .mbx
  • .mdx
  • .eml
  • .nch
  • .mmf
  • .ods
  • .cfg
  • .asp
  • .php
  • .pl
  • .wsh
  • .adb
  • .tbb
  • .sht
  • .xls
  • .oft
  • .uin
  • .cgi
  • .mht
  • .dhtm
  • jsp
・[差出人]フィールドから収集したアドレスを使用して、送信者のアドレスを偽装します。

・ただし、以下の文字列を含むアドレスには自身を送信しません。

  • @microsoft
  • rating@
  • f-secur
  • news
  • update
  • anyone@
  • bugs@
  • contract@
  • feste
  • gold-certs@
  • help@
  • info@
  • nobody@
  • noone@
  • kasp
  • admin
  • icrosoft
  • support
  • ntivi
  • unix
  • bsd
  • linux
  • listserv
  • certific
  • sopho
  • @foo
  • @iana
  • free-av
  • @messagelab
  • winzip
  • google
  • winrar
  • samples
  • abuse
  • panda
  • cafee
  • spam
  • pgp
  • @avp.
  • noreply
  • local
  • root@
  • postmaster@
ピアツーピアを介した繁殖

sharという語句を含むフォルダにファイルを作成します。

  • Microsoft Office 2003 Crack, Working!.exe
  • Microsoft Windows XP, WinXP Crack, working Keygen.exe
  • Microsoft Office XP working Crack, Keygen.exe
  • Porno, sex, oral, anal cool, awesome!!.exe
  • Porno Screensaver.scr
  • Serials.txt.exe
  • KAV 5.0
  • Kaspersky Antivirus 5.0
  • Porno pics arhive, xxx.exe
  • Windows Sourcecode update.doc.exe
  • Ahead Nero 7.exe
  • Windown Longhorn Beta Leak.exe
  • Opera 8 New!.exe
  • XXX hardcore images.exe
  • WinAmp 6 New!.exe
  • WinAmp 5 Pro Keygen Crack Update.exe
  • Adobe Photoshop 9 full.exe
  • Matrix 3 Revolution English Subtitles.exe
  • ACDSee 9.exe
プロセス切断

・W32/Bagle.ai@MMは、ウイルスを特定またはその行動を妨げる可能性のある、他のワームと製品に関連する以下のファイル名に合致するプロセスを切断します。

  • OUTPOST.EXE
  • NMAIN.EXE
  • NORTON_INTERNET_SECU_3.0_407.EXE
  • NPF40_TW_98_NT_ME_2K.EXE
  • NPFMESSENGER.EXE
  • NPROTECT.EXE
  • NSCHED32.EXE
  • NTVDM.EXE
  • NVARCH16.EXE
  • KERIO-WRP-421-EN-WIN.EXE
  • KILLPROCESSSETUP161.EXE
  • LDPRO.EXE
  • LOCALNET.EXE
  • LOCKDOWN.EXE
  • LOCKDOWN2000.EXE
  • LSETUP.EXE
  • AVprotect9x.EXE
  • CMON016.EXE
  • CPF9X206.EXE
  • CPFNT206.EXE
  • CV.EXE
  • CWNB181.EXE
  • CWNTDWMO.EXE
  • ICSSUPPNT.EXE
  • DEFWATCH.EXE
  • DEPUTY.EXE
  • DPF.EXE
  • DPFSETUP.EXE
  • DRWATSON.EXE
  • ENT.EXE
  • ESCANH95.EXE
  • AVXQUAR.EXE
  • ESCANHNT.EXE
  • ESCANV95.EXE
  • AVPUPD.EXE
  • EXANTIVIRUS-CNET.EXE
  • FAST.EXE
  • FIREWALL.EXE
  • FLOWPROTECTOR.EXE
  • FP-WIN_TRIAL.EXE
  • FRW.EXE
  • FSAV.EXE
  • AUTODOWN.EXE
  • FSAV530STBYB.EXE
  • FSAV530WTBYB.EXE
  • FSAV95.EXE
  • GBMENU.EXE
  • GBPOLL.EXE
  • GUARD.EXE
  • GUARDDOG.EXE
  • HACKTRACERSETUP.EXE
  • HTLOG.EXE
  • HWPE.EXE
  • IAMAPP.EXE
  • IAMSERV.EXE
  • ICLOAD95.EXE
  • ICLOADNT.EXE
  • ICMON.EXE
  • ICSUPP95.EXE
  • ICSUPPNT.EXE
  • IFW2000.EXE
  • IPARMOR.EXE
  • IRIS.EXE
  • JAMMER.EXE
  • ATUPDATER.EXE
  • AUPDATE.EXE
  • KAVLITE40ENG.EXE
  • KAVPERS40ENG.EXE
  • KERIO-PF-213-EN-WIN.EXE
  • KERIO-WRL-421-EN-WIN.EXE
  • BORG2.EXE
  • BS120.EXE
  • CDP.EXE
  • CFGWIZ.EXE
  • CFIADMIN.EXE
  • AUTOUPDATE.EXE
  • NAVAPW32.EXE
  • NAVDX.EXE
  • NAVSTUB.EXE
  • NAVW32.EXE
  • NC2000.EXE
  • NCINST4.EXE
  • AUTOTRACE.EXE
  • NDD32.EXE
  • NEOMONITOR.EXE
  • NETARMOR.EXE
  • NETINFO.EXE
  • NETMON.EXE
  • NETSCANPRO.EXE
  • NETSPYHUNTER-1.2.EXE
  • NETSTAT.EXE
  • NISSERV.EXE
  • NISUM.EXE
  • CFIAUDIT.EXE
  • LUCOMSERVER.EXE
  • AGENTSVR.EXE
  • ANTI-TROJAN.EXE
  • ANTIVIRUS.EXE
  • ANTS.EXE
  • APIMONITOR.EXE
  • APLICA32.EXE
  • APVXDWIN.EXE
  • ATCON.EXE
  • ATGUARD.EXE
  • ATRO55EN.EXE
  • ATWATCH.EXE
  • AVCONSOL.EXE
  • AVGSERV9.EXE
  • AVSYNMGR.EXE
  • BD_PROFESSIONAL.EXE
  • BIDEF.EXE
  • BIDSERVER.EXE
  • BIPCP.EXE
  • BIPCPEVALSETUP.EXE
  • BISP.EXE
  • BLACKD.EXE
  • BLACKICE.EXE
  • BOOTWARN.EXE
  • NWINST4.EXE
  • NWTOOL16.EXE
  • OSTRONET.EXE
  • OUTPOSTINSTALL.EXE
  • OUTPOSTPROINSTALL.EXE
  • PADMIN.EXE
  • PANIXK.EXE
  • PAVPROXY.EXE
  • DRWEBUPW.EXE
  • PCC2002S902.EXE
  • PCC2K_76_1436.EXE
  • PCCIOMON.EXE
  • PCDSETUP.EXE
  • PCFWALLICON.EXE
  • PCIP10117_0.EXE
  • PDSETUP.EXE
  • PERISCOPE.EXE
  • PERSFW.EXE
  • PF2.EXE
  • AVLTMAIN.EXE
  • PFWADMIN.EXE
  • PINGSCAN.EXE
  • PLATIN.EXE
  • POPROXY.EXE
  • POPSCAN.EXE
  • PORTDETECTIVE.EXE
  • PPINUPDT.EXE
  • PPTBC.EXE
  • PPVSTOP.EXE
  • PROCEXPLORERV1.0.EXE
  • PROPORT.EXE
  • PROTECTX.EXE
  • PSPF.EXE
  • WGFE95.EXE
  • WHOSWATCHINGME.EXE
  • AVWUPD32.EXE
  • NUPGRADE.EXE
  • WINRECON.EXE
  • WNT.EXE
  • WRADMIN.EXE
  • WRCTRL.EXE
  • WSBGATE.EXE
  • WYVERNWORKSFIREWALL.EXE
  • XPF202EN.EXE
  • ZAPRO.EXE
  • ZAPSETUP3001.EXE
  • ZATUTOR.EXE
  • CFINET32.EXE
  • CLEAN.EXE
  • CLEANER.EXE
  • CLEANER3.EXE
  • CLEANPC.EXE
  • CMGRDIAN.EXE
  • CMON016.EXE
  • CPD.EXE
  • PURGE.EXE
  • PVIEW95.EXE
  • QCONSOLE.EXE
  • QSERVER.EXE
  • RAV8WIN32ENG.EXE
  • REGEDT32.EXE
  • REGEDIT.EXE
  • UPDATE.EXE
  • RESCUE.EXE
  • RESCUE32.EXE
  • RRGUARD.EXE
  • RSHELL.EXE
  • RTVSCN95.EXE
  • RULAUNCH.EXE
  • SAFEWEB.EXE
  • SBSERV.EXE
  • SD.EXE
  • SETUP_FLOWPROTECTOR_US.EXE
  • SETUPVAMEEVAL.EXE
  • SFC.EXE
  • SGSSFW32.EXE
  • SH.EXE
  • SHELLSPYINSTALL.EXE
  • SHN.EXE
  • SMC.EXE
  • SOFI.EXE
  • SPF.EXE
  • SPHINX.EXE
  • SPYXX.EXE
  • SS3EDIT.EXE
  • ST2.EXE
  • SUPFTRL.EXE
  • LUALL.EXE
  • SUPPORTER5.EXE
  • SYMPROXYSVC.EXE
  • SYS_XP.EXE
  • SYSEDIT.EXE
  • SYSXP.EXE
  • TASKMON.EXE
  • TAUMON.EXE
  • TAUSCAN.EXE
  • TC.EXE
  • TCA.EXE
  • TCM.EXE
  • TDS2-98.EXE
  • TDS2-NT.EXE
  • TDS-3.EXE
  • TFAK5.EXE
  • TGBOB.EXE
  • TITANIN.EXE
  • TITANINXP.EXE
  • TRACERT.EXE
  • TRJSCAN.EXE
  • TRJSETUP.EXE
  • TROJANTRAP3.EXE
  • UNDOBOOT.EXE
  • VBCMSERV.EXE
  • VBCONS.EXE
  • VBUST.EXE
  • VBWIN9X.EXE
  • VBWINNTW.EXE
  • VCSETUP.EXE
  • VFSETUP.EXE
  • VIRUSMDPERSONALFIREWALL.EXE
  • VNLAN300.EXE
  • VNPC3000.EXE
  • VPC42.EXE
  • VPFW30S.EXE
  • VPTRAY.EXE
  • VSCENU6.02D30.EXE
  • VSECOMR.EXE
  • VSHWIN32.EXE
  • VSISETUP.EXE
  • VSMAIN.EXE
  • VSMON.EXE
  • VSSTAT.EXE
  • VSWIN9XE.EXE
  • VSWINNTSE.EXE
  • VSWINPERSE.EXE
  • W32DSM89.EXE
  • W9X.EXE
  • WATCHDOG.EXE
  • WEBSCANX.EXE
  • CFINET.EXE
  • ICSUPP95.EXE
  • MCUPDATE.EXE
  • LUINIT.EXE
  • MCAGENT.EXE
  • MFW2EN.EXE
  • MFWENG3.02D30.EXE
  • MGUI.EXE
  • MINILOG.EXE
  • MOOLIVE.EXE
  • MRFLUX.EXE
  • MSCONFIG.EXE
  • MSINFO32.EXE
  • MSSMMC32.EXE
  • MU0311AD.EXE
  • NAV80TRY.EXE
  • ZAUINST.EXE
  • ZONALM2601.EXE
  • ZONEALARM.EXE
レジストリエントリーの削除

・W32/Bagle.ai@MMは、下記の2つのスタートアップロケーションにおいて、

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Run
  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run
・他のワームやセキュリティ製品に関連する下記のキーを削除します。
  • "My AV"
  • "Zone Labs Client Ex"
  • "9XHtProtect"
  • "Antivirus"
  • "Special Firewall Service"
  • "service"
  • "Tiny AV"
  • "ICQNet"
  • "HtProtect"
  • "NetDy"
  • "Jammer2nd"
  • "FirewallSvr"
  • "MsInfo"
  • "SysMonXP"
  • "EasyAV"
  • "PandaAVEngine"
  • "Norton Antivirus AV'
  • "KasperskyAVEng"
  • "SkynetsRevenge"
  • "ICQ Net"
リモートアクセスコンポーネント

・W32/Bagle.ai@MMは、TCPポート1080およびUDPポート1040上で受信待機して、リモート接続を確認します。さまざまなウェブサイトにアクセスし、リモートサイト上のPHPスクリプトを呼び出して、感染したシステムがコマンドの受信準備が整ったことを作成者に通知しようとします。 現時点ではそのようなサイトは存在しません。

駆除方法TOPへ戻る
■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足

■Stinger
駆除ツールStingerがW32/Bagleに対応しています。ダウンロードはこちら