|
|
ウイルス情報| ウイルス名 | 危険度 | | W32/Holar.c@MM | 企業ユーザ: 低[要注意]
個人ユーザ: 低[要注意] |
|
|
| 種別 | トロイの木馬 | 最小定義ファイル
(最初に検出を確認したバージョン) | 4236 | 対応定義ファイル
(現在必要とされるバージョン) | 4362 （現在7109) | | 対応エンジン | 5.1.00以降 (現在5.4.00)
エンジンバージョンの見分け方 | | 別名 | I-Worm.Galil
W32/Lagel.A
W32/SfxDeth.A-mm
Worm/Holar.C | | 情報掲載日 | 02/12/05 | | 発見日（米国日付） | 02/12/05 | | 駆除補足 | ウイルス駆除のヒント
| |
|
|
| ウイルスの特徴 | TOPに戻る | |
W32/Holar.c@MM は、ZD NET Australia に “New worm threatens files in Aust.” という記事が掲載されましたので、危険度を “低 [要注意]” に変更しました。
- W32/Holar.c@MM は電子メール、感染マシンのファイルからメールアドレスを引用して、自身を送信することで拡大します。AVERTのテストによると、ウイルスの複製コピーは送信メールに添付されます。また、一つのメールにつき４つのウイルスファイルが添付されていることもあります。
このウイルスは次の電子メールメッセージで届きます。
件名: Fwd: Crazy illegal sex !
添付ファイル: iLLeGal.exe (80,626 バイト)
本文:
本文には、Yahooのアカウントからの転送メッセージであるとユーザが勘違いするような文字列が含まれています。転送ヘッダの下に、以下のテキストが続きます。
The message body contains strings to fool the user into thinking the message is forwarded from a Yahoo account. Beneath the forwarded headers, the following text is present:
Hii
Is it really illegal in da USA?
who knows :P
If u have a weak heart i warn u DON'T see dis Clip.
Emagine two young children havin crazy sex fo da first time togetha ! loooool i'm still wonderin where thier parents were?
Good Xuck , oh sorry :
i mean Good Luck ;
Bye
- このメッセージの本文は文字列 "Flash File" が含まれており、添付ファイルのアイコンは、Shockwave Flash ファイルで通常使用されるものです。
- ウイルスが実行されると、以下のファイルを落とし込みます。（%SysDir% はWindows Systemディレクトリ：例 C:\WINDOWS\SYSTEM32）
- %SysDir%\ILLEGAL.EXE (80,626バイト) -ドロッパコンポーネント
- %SysDir%\MPLAYER.EXE (13,824バイト) - メールコンポーネント(UPXed)
- %SysDir%\SMTP.ocx (25,737バイト) - ライブラリファイル(UPXed)
- 落とし込まれたコンポーネントは以下のメッセージボックスを表示します。
- さらに、以下のウィンドウを表示します。
- 以下のレジストリキーはPC起動時にメーリングコンポーネントを実行します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices "iLLeGaL" = %SysDir%\Mplayer.exe
- このレジストリキーフックは指定されたエンジンと定義ファイルで削除できます。
このウイルスは以下のレジストリキーも追加します。
HKEY_LOCAL_MACHINE "iLLeGal" = 1
|
|
| 以下の症状が見られる場合、このウイルスに感染している可能性があります。 | TOPへ戻る |
- 上記のような現象がある。
- 上記に詳述してある3つのファイルが存在する。
- 上記に詳述してあるレジストリキーが存在する。
- 上記のようなメッセージが発信される。
|
|
| 感染方法 | TOPへ戻る |
- このウイルスは、感染マシン(temporary Internetフォルダ)からメールアドレスを引用し、自身を電子メールで送信する。
- このウイルスは、3つの実行ファイルが“ドロッパ|メーラ|SMTPライブラリ”というサンドイッチ状の構造を取っている。（詳細については、上記参照）
- ドロッパコンポーネント、メーラコンポーネントは、上記のエンジンと定義ファイルを使用して“W32/Holar.c@MM”として検出される。
|
|
|
|
|  |
