製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報:B
ウイルス情報
ウイルス名危険度
W32/Bagle.z@MM
企業ユーザ:
個人ユーザ:
種別ウイルス
最小定義ファイル
(最初に検出を確認したバージョン)
4353
対応定義ファイル
(現在必要とされるバージョン)
4374 (現在7535)
対応エンジン4.2.40以降 (現在5600) 
エンジンバージョンの見分け方
情報掲載日04/04/27
発見日(米国日付)04/04/26
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
08/18W32/Expiro!7...
08/18GenericR-AXH...
08/18Generic.dx!B...
定義ファイル・エンジンの
ダウンロード!
  定義ファイル:7535
 エンジン:5600
 
ウイルス検索
 


ウイルスの特徴TOPに戻る

・W32/Bagle.z@MMはW32/Bagle@MMの亜種で、UPX圧縮されています。ポリモルフィックではなく、常に不要なデータがファイルに負荷されているため、スタティックMD5は適切ではありません。

・ W32/Bagle.z@MMは大量メール送信型ワームです。特徴は以下のとおりです。

  • 自身のSMTPエンジンを使用して電子メールメッセージを作成します。
  • ターゲットマシンから電子メールアドレスを収集します。
  • メッセージの差出人のアドレスを偽装します。
  • 添付ファイルはパスワード保護されたZIPファイルである場合があります。パスワードは本文に記載されています。
  • リモートアクセスコンポーネントが組み込まれています(ハッカーに通知が送信されます)。
  • 名前にsharという語句を含むフォルダ(KaZaa、Bearshare、Limewireなど一般的なピアツーピアアプリケーションのフォルダ)に自身をコピーします。
・実行されると、以下の偽のメッセージを表示します。

電子メールを介した繁殖

・詳細は以下のとおりです。

差出人:(アドレスを偽装)

以下の文字列を使用する場合があります。

  • lizie@
  • annie@
  • ann@
  • christina@
  • secretGurl@
  • jessie@
  • christy@
件名:
  • Hello
  • Hey!
  • Let's socialize, my friend!
  • Let's talk, my friend!
  • I'm bored with this life
  • Notify from a known person ;-)
  • I like you
  • I just need a friend
  • I'm a sad girl...
  • Re:Msg reply
  • Re:Hello
  • Re:Yahoo!
  • Re:Thank you!
  • Re:Thanks :)
  • RE:Text message
  • Re:Document
  • Incoming message
  • Re:Incoming message
  • Re:Incoming Fax
  • Hidden message
  • Fax Message Received
  • Protected message
  • RE:Protected message
  • Forum notify
  • Request response
  • Site changes
  • Re:Hi
  • Encrypted document
本文:
  • さまざまに組み立てられた文字列を使用します。
添付ファイル:以下のいずれか
  • スクリプトドロッパ - 以下のいずれかのファイル拡張子を使用
    • ○HTA
    • ○VBS
  • パスワード保護されたZIP圧縮ファイル(W32/Bagle.gen!pwdzipとして検出)
  • 実行ファイル - 以下のいずれかのファイル拡張子を使用
    • ○exe
    • ○scr
    • ○com
    • ○cpl
  • 実行可能ドロッパ - CPLのファイル拡張子を持つCPLファイル
・実行ファイルは以下のアイコンを使用します。

・CPLファイルは以下のアイコンを使用します。

・W32/Bagle.z@MMは、drvsys.exeというファイル名でWindows Systemディレクトリに自身をコピーします。

  • C:\WINNT\SYSTEM32\drvsys.exe
・また、自身の機能を実行する他のファイルもこのディレクトリに作成します。
  • drvsys.exeopen(ワームのコピー)
  • drvsys.exeopenopen(ワームのコピー)
・以下のレジストリキーが追加されてシステム起動時にフックされます。
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "drvsys.exe" = C:\WINNT\SYSTEM32\drvsys.exe
・W32/Bagle.z@MMは、以下のファイル名を持つセキュリティプログラムのプロセスを終了しようとします。
  • AGENTSVR.EXE
  • ANTI-TROJAN.EXE
  • ANTIVIRUS.EXE
  • ANTS.EXE
  • APIMONITOR.EXE
  • APLICA32.EXE
  • APVXDWIN.EXE
  • ATCON.EXE
  • ATGUARD.EXE
  • ATRO55EN.EXE
  • ATUPDATER.EXE
  • ATWATCH.EXE
  • AUPDATE.EXE
  • AUTODOWN.EXE
  • AUTOTRACE.EXE
  • AUTOUPDATE.EXE
  • AVCONSOL.EXE
  • AVGSERV9.EXE
  • AVLTMAIN.EXE
  • AVPUPD.EXE
  • AVSYNMGR.EXE
  • AVWUPD32.EXE
  • AVXQUAR.EXE
  • AVprotect9x.exe
  • BD_PROFESSIONAL.EXE
  • BIDEF.EXE
  • BIDSERVER.EXE
  • BIPCP.EXE
  • BIPCPEVALSETUP.EXE
  • BISP.EXE
  • BLACKD.EXE
  • BLACKICE.EXE
  • BOOTWARN.EXE
  • BORG2.EXE
  • BS120.EXE
  • CDP.EXE
  • CFGWIZ.EXE
  • CFIADMIN.EXE
  • CFIAUDIT.EXE
  • CFINET.EXE
  • CFINET32.EXE
  • CLEAN.EXE
  • CLEANER.EXE
  • CLEANER3.EXE
  • CLEANPC.EXE
  • CMGRDIAN.EXE
  • CMON016.EXE
  • CPD.EXE
  • CPF9X206.EXE
  • CPFNT206.EXE
  • CV.EXE
  • CWNB181.EXE
  • CWNTDWMO.EXE
  • DEFWATCH.EXE
  • DEPUTY.EXE
  • DPF.EXE
  • DPFSETUP.EXE
  • DRWATSON.EXE
  • DRWEBUPW.EXE
  • ENT.EXE
  • ESCANH95.EXE
  • ESCANHNT.EXE
  • ESCANV95.EXE
  • EXANTIVIRUS-CNET.EXE
  • FAST.EXE
  • FIREWALL.EXE
  • FLOWPROTECTOR.EXE
  • FP-WIN_TRIAL.EXE
  • FRW.EXE
  • FSAV.EXE
  • FSAV530STBYB.EXE
  • FSAV530WTBYB.EXE
  • FSAV95.EXE
  • GBMENU.EXE
  • GBPOLL.EXE
  • GUARD.EXE
  • GUARDDOG.EXE
  • HACKTRACERSETUP.EXE
  • HTLOG.EXE
  • HWPE.EXE
  • IAMAPP.EXE
  • IAMSERV.EXE
  • ICLOAD95.EXE
  • ICLOADNT.EXE
  • ICMON.EXE
  • ICSSUPPNT.EXE
  • ICSUPP95.EXE
  • ICSUPPNT.EXE
  • IFW2000.EXE
  • IPARMOR.EXE
  • IRIS.EXE
  • JAMMER.EXE
  • KAVLITE40ENG.EXE
  • KAVPERS40ENG.EXE
  • KERIO-PF-213-EN-WIN.EXE
  • KERIO-WRL-421-EN-WIN.EXE
  • KERIO-WRP-421-EN-WIN.EXE
  • KILLPROCESSSETUP161.EXE
  • LDPRO.EXE
  • LOCALNET.EXE
  • LOCKDOWN.EXE
  • LOCKDOWN2000.EXE
  • LSETUP.EXE
  • LUALL.EXE
  • LUCOMSERVER.EXE
  • LUINIT.EXE
  • MCAGENT.EXE
  • MCUPDATE.EXE
  • MFW2EN.EXE
  • MFWENG3.02D30.EXE
  • MGUI.EXE
  • MINILOG.EXE
  • MOOLIVE.EXE
  • MRFLUX.EXE
  • MSCONFIG.EXE
  • MSINFO32.EXE
  • MSSMMC32.EXE
  • MU0311AD.EXE
  • NAV80TRY.EXE
  • NAVAPW32.EXE
  • NAVDX.EXE
  • NAVSTUB.EXE
  • NAVW32.EXE
  • NC2000.EXE
  • NCINST4.EXE
  • NDD32.EXE
  • NEOMONITOR.EXE
  • NETARMOR.EXE
  • NETINFO.EXE
  • NETMON.EXE
  • NETSCANPRO.EXE
  • NETSPYHUNTER-1.2.EXE
  • NETSTAT.EXE
  • NISSERV.EXE
  • NISUM.EXE
  • NMAIN.EXE
  • NORTON_INTERNET_SECU_3.0_407.EXE
  • NPF40_TW_98_NT_ME_2K.EXE
  • NPFMESSENGER.EXE
  • NPROTECT.EXE
  • NSCHED32.EXE
  • NTVDM.EXE
  • NUPGRADE.EXE
  • NVARCH16.EXE
  • NWINST4.EXE
  • NWTOOL16.EXE
  • OSTRONET.EXE
  • OUTPOST.EXE
  • OUTPOSTINSTALL.EXE
  • OUTPOSTPROINSTALL.EXE
  • PADMIN.EXE
  • PANIXK.EXE
  • PAVPROXY.EXE
  • PCC2002S902.EXE
  • PCC2K_76_1436.EXE
  • PCCIOMON.EXE
  • PCDSETUP.EXE
  • PCFWALLICON.EXE
  • PCIP10117_0.EXE
  • PDSETUP.EXE
  • PERISCOPE.EXE
  • PERSFW.EXE
  • PF2.EXE
  • PFWADMIN.EXE
  • PINGSCAN.EXE
  • PLATIN.EXE
  • POPROXY.EXE
  • POPSCAN.EXE
  • PORTDETECTIVE.EXE
  • PPINUPDT.EXE
  • PPTBC.EXE
  • PPVSTOP.EXE
  • PROCEXPLORERV1.0.EXE
  • PROPORT.EXE
  • PROTECTX.EXE
  • PSPF.EXE
  • PURGE.EXE
  • PVIEW95.EXE
  • QCONSOLE.EXE
  • QSERVER.EXE
  • RAV8WIN32ENG.EXE
  • REGEDIT.EXE
  • REGEDT32.EXE
  • RESCUE.EXE
  • RESCUE32.EXE
  • RRGUARD.EXE
  • RSHELL.EXE
  • RTVSCN95.EXE
  • RULAUNCH.EXE
  • SAFEWEB.EXE
  • SBSERV.EXE
  • SD.EXE
  • SETUPVAMEEVAL.EXE
  • SETUP_FLOWPROTECTOR_US.EXE
  • SFC.EXE
  • SGSSFW32.EXE
  • SH.EXE
  • SHELLSPYINSTALL.EXE
  • SHN.EXE
  • SMC.EXE
  • SOFI.EXE
  • SPF.EXE
  • SPHINX.EXE
  • SPYXX.EXE
  • SS3EDIT.EXE
  • ST2.EXE
  • SUPFTRL.EXE
  • SUPPORTER5.EXE
  • SYMPROXYSVC.EXE
  • SYSEDIT.EXE
  • TASKMON.EXE
  • TAUMON.EXE
  • TAUSCAN.EXE
  • TC.EXE
  • TCA.EXE
  • TCM.EXE
  • TDS-3.EXE
  • TDS2-98.EXE
  • TDS2-NT.EXE
  • TFAK5.EXE
  • TGBOB.EXE
  • TITANIN.EXE
  • TITANINXP.EXE
  • TRACERT.EXE
  • TRJSCAN.EXE
  • TRJSETUP.EXE
  • TROJANTRAP3.EXE
  • UNDOBOOT.EXE
  • UPDATE.EXE
  • VBCMSERV.EXE
  • VBCONS.EXE
  • VBUST.EXE
  • VBWIN9X.EXE
  • VBWINNTW.EXE
  • VCSETUP.EXE
  • VFSETUP.EXE
  • VIRUSMDPERSONALFIREWALL.EXE
  • VNLAN300.EXE
  • VNPC3000.EXE
  • VPC42.EXE
  • VPFW30S.EXE
  • VPTRAY.EXE
  • VSCENU6.02D30.EXE
  • VSECOMR.EXE
  • VSHWIN32.EXE
  • VSISETUP.EXE
  • VSMAIN.EXE
  • VSMON.EXE
  • VSSTAT.EXE
  • VSWIN9XE.EXE
  • VSWINNTSE.EXE
  • VSWINPERSE.EXE
  • W32DSM89.EXE
  • W9X.EXE
  • WATCHDOG.EXE
  • WEBSCANX.EXE
  • WGFE95.EXE
  • WHOSWATCHINGME.EXE
  • WINRECON.EXE
  • WNT.EXE
  • WRADMIN.EXE
  • WRCTRL.EXE
  • WSBGATE.EXE
  • WYVERNWORKSFIREWALL.EXE
  • XPF202EN.EXE
  • ZAPRO.EXE
  • ZAPSETUP3001.EXE
  • ZATUTOR.EXE
  • ZAUINST.EXE
  • ZONALM2601.EXE
  • ZONEALARM.EXE
・W32/Bagle.z@MMは、ターゲットマシンの2535ポート(TCP)を開きます。

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る
・感染マシンのTCPポート2535が開きます。
・送信メッセージが上記の内容と一致する
・上記のようなファイルとレジストリキーが存在する

感染方法TOPへ戻る
電子メールを介した繁殖

・W32/Bagle.z@MMは、自身のSMTPエンジンを使用してメッセージを作成します。ターゲットマシンの以下の拡張子を持つファイルから、ターゲットになる電子メールアドレスを収集します。

  • .adb
  • .asp
  • .cfg
  • .cgi
  • .dbx
  • .dhtm
  • .eml
  • .htm
  • .jsp
  • .mbx
  • .mdx
  • .mht
  • .mmf
  • .msg
  • .nch
  • .ods
  • .oft
  • .php
  • .pl
  • .sht
  • .stm
  • .tbb
  • .shtm
  • .txt
  • .uin
  • .wab
  • .wsh
  • .xls
  • .xml
・[差出人]フィールドから収集したアドレスを使用して、送信者のアドレスを偽装します。

・ただし、以下を含むアドレスには自身を送信しません。

  • @hotmail
  • @msn
  • @microsoft
  • rating@
  • f-secur
  • news
  • update
  • anyone@
  • bugs@
  • contract@
  • feste
  • gold-certs@
  • help@
  • info@
  • nobody@
  • noone@
  • kasp
  • admin
  • icrosoft
  • support
  • ntivi
  • unix
  • bsd
  • linux
  • listserv
  • certific
  • sopho
  • @foo
  • @iana
  • free-av
  • @messagelab
  • winzip
  • google
  • winrar
  • samples
  • abuse
  • panda
  • cafee
  • spam
  • pgp
  • @avp.
  • noreply
  • local
  • root@
  • postmaster@
ピアツーピアを介した繁殖

・sharという語句を含むフォルダにファイルを作成します。

  • Microsoft Office 2003 Crack, Working!.exe
  • Microsoft Windows XP, WinXP Crack, working Keygen.exe
  • Microsoft Office XP working Crack, Keygen.exe
  • Porno, sex, oral, anal cool, awesome!!.exe
  • Porno Screensaver.scr
  • Serials.txt.exe
  • KAV 5.0
  • Kaspersky Antivirus 5.0
  • Porno pics arhive, xxx.exe
  • Windows Sourcecode update.doc.exe
  • Ahead Nero 7.exe
  • Windown Longhorn Beta Leak.exe
  • Opera 8 New!.exe
  • XXX hardcore images.exe
  • WinAmp 6 New!.exe
  • WinAmp 5 Pro Keygen Crack Update.exe
  • Adobe Photoshop 9 full.exe
  • Matrix 3 Revolution English Subtitles.exe
  • ACDSee 9.exe
リモートアクセスコンポーネント

・W32/Bagle.z@MMは、TCPポート2535上で受信待機して、リモート接続を確認します。さまざまなウェブサイトにアクセスし、リモートサイト上のPHPスクリプトを呼び出して、感染したシステムがコマンドの受信準備が整ったことを作成者に通知しようとします。なお、このウイルス情報の作成時には、このようなスクリプトはどのサイトにも存在しませんでした。

  • http://www.spiegel.de/5.php
  • http://www.leipziger-messe.de/5.php
  • http://www.mobile.de/5.php
  • http://www.neformal.de/5.php
  • http://www.avh.de/5.php
  • http://www.goethe.de/5.php
  • http://www.degruyter.de/5.php
  • http://www.heise.de/5.php
  • http://www.autoscout24.de/5.php
  • http://www.russische-botschaft.de/5.php
  • http://www.bmbf.de/5.php
  • http://www.berlinale.de/5.php
  • http://www.hamann-motorsport.de/5.php
  • http://Spaceclub.de/5.php
  • http://www.fracht-24.de/5.php
  • http://www.loveparade.de/5.php
  • http://www.dalnoboyshik.de/5.php
  • http://www.deutschland.de/5.php
  • http://www.ac-schnitzer.de/5.php
  • http://abakan.strana.de/5.php
  • http://www.emis.de/5.php
  • http://www.dwd.de/5.php
  • http://www.ifdesign.de/5.php
  • http://www.beckers-systems.de/5.php
  • http://www.pri-wo-hamburg.de/5.php
  • http://virtualzone.de/5.php
  • http://www.mitsumi.de/5.php
  • http://www.fu-berlin.de/5.php
  • http://www.nabu.de/5.php
  • http://www.tekeli.de/5.php
  • http://www.welt.de/5.php
  • http://www.gospel-nations.de/5.php
  • http://www.neznakomez.de/5.php
  • http://www.tecchannel.de/5.php
  • http://www.php-resource.de/5.php
  • http://www.windac.de/5.php
  • http://www.gsi.de/5.php
  • http://www.turism.de/5.php
  • http://jakimov.golos.de/5.php
  • http://www.www.mirko-becker.gmxhome.de/5.php
  • http://vg.xtonne.de/5.php
  • http://www.go-amman.de/5.php
  • http://3treepoint.com/5.php
  • http://www.restarted-alliance.de/5.php
  • http://2udar.ligakvn.de/5.php
  • http://www.sprach-zertifikat.de/5.php
  • http://www.dfg.de/5.php
  • http://www.kliniken.de/5.php
  • http://www.winfuture.de/5.php
  • http://www.hamburg.de/5.php
  • http://www.auma.de/5.php
  • http://www.teac.de/5.php
  • http://www.eumetsat.de/5.php
  • http://www.documenta.de/5.php
  • http://hardvision.ru/5.php
  • http://www.bruecke-osteuropa.de/5.php
  • http://www.mk-motorsport.de/5.php
  • http://www.bundesregierung.de/5.php
  • http://ditec.um.es/5.php
  • http://www.insel-ruegen-hotel.de/5.php
  • http://www.tib.uni-hannover.de/5.php
  • http://www.chugai.de/5.php
  • http://www.blauer-engel.de/5.php
  • http://www.partner-inform.de/5.php
  • http://250x.com/5.php
  • http://villakinderbunt.de/5.php
  • http://s318.evanzo-server.de/5.php
  • http://andimeisslein.de/5.php
  • http://tobimayer.de/5.php
  • http://markusgimenez.de/5.php
  • http://www.fiz-karlsruhe.de/5.php
  • http://www.gdch.de/5.php
  • http://www.intermatgmbh.de/5.php
  • http://www.hotel-pension-spree.de/5.php
  • http://vg.xtonne.de/5.php
  • http://www.low-spirit.de/5.php
  • http://www.red-dot.de/5.php
  • http://www.fernuni-hagen.de/5.php
  • http://www.ruletka.de/5.php
  • http://www.deutsch-als-fremdsprache.de/5.php
  • http://www.uni-oldenburg.de/5.php
  • http://fotos.schneider.bards.de/5.php
  • http://www.deutsches-museum.de/5.php
  • http://www.de-bug.de/5.php
  • http://www.uni-stuttgart.de/5.php
  • http://www.embl-heidelberg.de/5.php
  • http://www.mdz-moskau.de/5.php
  • http://www.mitsubishi-evs.de/5.php
  • http://www.siegenia-aubi.com/5.php
  • http://www.cicv.fr/5.php
  • http://www.paromi.de/5.php
  • http://www.jura.uni-sb.de/5.php
  • http://www.exactaudiocopy.de/5.php

駆除方法TOPへ戻る
■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足

■Stinger
駆除ツールStingerがW32/Bagle.z@MMに対応しています。ダウンロードはこちら

■手動で駆除する場合の手順

  1. システムをセーフモードで再起動します。
    (電源を入れて、Windows開始の文章が画面に現れたらすぐにF8キーを押し、そこでセーフモードを選びます。)
  2. WINDOWS SYSTEMディレクトリ(c:\windows\system32かc:\winnt\system32の場合が多いです。)から下記のファイルを削除します。
    drvsys.exe
    drvsys.exeopen
    drvsys.exeopenopen
  3. レジストリを編集します。
    "drvsys.exe"という値を以下から削除します。
    • HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run
  4. デフォルトモードでシステムを再起動します。

■McAfee Desktop Firewall
McAfee Desktop Firewallユーザは受信TCPポート2535をブロックすることで不正なリモートアクセスを防げます。