McAfee for Small Businesses

差出人：（差出人ヘッダーを擬装）
・差出人のアドレスは、その差出人が感染していることを示しているわけではありません。さらに、実際には感染していないのに、自身が感染していることを警告するメッセージがメールサーバから届く場合もあります。

・差出人のアドレスは、ウイルス本体に格納された一般的な名前に受信者のドメイン名を付加して、作成されます（例：john@mydomain.com）。

・一般的に使用される名前は以下のとおりです。

• barbara
• daniel
• david
• eric
• jason
• jennifer
• jessica
• joe
• john
• karen
• kevin
• linda
• mary
• mike
• nancy
• pamela
• patricia
• robert
• sarah
• susan

• Delivery Status (Secure)
• failed transaction
• Re: Extended Mail
• Re: hello (Secure-Mail)
• Re: Server Reply
• Secure delivery
• SN: New secure mail
• SN: Server Status

要素1

• ドメイン :: Automatically Secure Delivery: for 電子メールアドレス
• ドメイン :: Mail Delivery Server System: for 電子メールアドレス
• ドメイン :: Extended secure mail message available at: 電子メールアドレス
• ドメイン :: Secure Mail Server Notification: for 電子メールアドレス
• ドメイン :: New mail secure method implement: for 電子メールアドレス

• New policy requested by mail server to returned mail as a secure compiled attachment (Zip).
• Now a new message is available as secure Zip file format. Due to new policies on clients.
• This message is available as a secure Zip file format due to a new security policy.
• For security measures this message has been packed as Zip format. This is a newly added security feature.
• New policy recommends to enclose all messages as Zip format. Your message is available in this server notice.
• You have received a message that implements secure delivery technology. Message available as a secure Zip file.

• This message is an automatically server notice from Administration at ドメイン
• Server Notice:New security feature added. MSG:ID: 455sec86 from ドメイン
• New feature added for security reasons from ドメイン
• Automatically server notice:, Server reply from ドメイン
• New service policy for security added from ドメイン

• attachment
• document
• file
• mail
• message
• readme
• text
• transcript

• .zip
• .exe
• -txt.exe
• -htm.exe
• -txt.scr

・W32/Evaman.c@MMは、winlibs.exeという名前でWindowsのシステムディレクトリ（例：c:\Windows\System32）に自身をコピーし、システムの起動時に自身をロードするレジストリ実行キーを作成します。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
  CurrentVersion\Run "winlibs.exe" = C:\WINDOWS\System32\winlibs.exe

• HKEY_CURRENT_USER\Software\Microsoft\Windows\
  CurrentVersion\Explorer\winlibs
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
  CurrentVersion\Explorer\winlibs

• adb
• asp
• cfg
• dbx
• dhtm
• eml
• htm
• html
• js
• jse
• jsp
• mmf
• msg
• ods
• php
• pl
• sht
• shtm
• shtml
• tbb
• txt
• wab
• xml

• http://email.people.yahoo.com:80/py/psSearch.py ?

• .edu
• .gov
• .mil
• @MM
• @mm
• 32.
• ample
• arsoft
• ating
• avp
• Bug
• bug
• buse
• cafee
• ccoun
• cribe
• CRIBE
• dmin
• ebmast
• ecur
• eport
• eturn
• gmail
• help
• ibm
• ICROSOFT
• icrosoft
• inpris
• inrar
• inux
• inzip
• irus
• ists
• list
• msdn
• msn
• nfo
• ntivi
• omain
• omment
• ompu
• oogle
• oot
• opho
• orton
• otmail
• panda
• pdate
• persk
• rend
• ruslis
• Sale
• sale
• sarc
• senet
• soft
• spam
• Spam
• SPAM
• ugs
• umit
• upport
• user
• USER
• ware
• win
• ymant
• YOU
• you