ウイルス情報

ウイルス名

W97M/IIS.i

危険度
対応定義ファイル 4031 (現在7633)
対応エンジン 4.0.25以降 (現在5600) 
エンジンバージョンの見分け方
別名 Activ, IIS, W97M/Activ
発見日(米国日付) 99/04/01


このウイルスは、感染文書を開くと発動する。c:\fuck.txtというファイルを使用して、ウイルスコードをnormal.dotにコピーする。Normal.dot内では、このウイルスのマクロはAutoExecと呼ばれる。その後ウイルスは別のWordセッションを開始する。2番目のWordセッションはAutoExecマクロを実行する。マクロが実行されると、ウイルスは複数のWordセッションが実行されているかどうかをチェックする。そして複数のWordセッションが実行されている場合には感染する。感染方法としては、C:ドライブの文書を検索し、それらに感染、さらにこれら感染文書の1つをダイレクトアクションウイルスとする。このウイルスは内部変数内の文字の名前をHigh-ASCII文字に改変できる。また文書を一時的な名前に変更し、元に戻す。これは他のプロセスで開かれている文書における問題を回避するためだと思われる。感染を示すマーカーとしてウイルスはc:\temp.datを作成する。c:\temp.datが既に存在する場合は、サブルーチンを終了する。既に感染した文書を開いても感染ルーチンが2度発生することはないように、感染対象文書の検索中にはc:\temp.datが存在する。

感染文書が開かれるたびに、ウイルスは次の行を追加する。

"Flitnic has enjoyed your system at: " [Date] ", " [Time]

moody.datの行数が100に達すると、発病ルーチンを発動させ、アプリケーションのキャプションを"Now you're dead my son!"に変更する。またWordとその他いくつかのタスクを除くすべてのタスクを終了させる。さらに、CIHの亜種を含むKILLER.EXEというファイルを作成し、"Do you know Flitnic? No? But now you will remember him!

I'煙ャ粕揄將 sure! He has asked CIH to crash your system!"というメッセージボックスを表示する。そしてCIH.1035の意図したサンプルと考えられるKILLER.EXEを実行する(繁殖しない)。