McAfee for Small Businesses

ウイルス情報 ウイルス名 VBS/Loveletter.f 種別 ウイルス ファイルサイズ 低 最小定義ファイル (最初に検出を確認したバージョン) TRUE 対応定義ファイル (現在必要とされるバージョン) 4077　（現在7084) 対応エンジン 4.0.35以降　(現在5.4.00)　 エンジンバージョンの見分け方 情報掲載日 00/05/07 発見日（米国日付） 00/05/05 駆除補足 VirusScanによる駆除方法ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/22 W32/Virut.ge... 05/22 W32/Duel!962... 05/22 W32/Duel!EC1... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7084  エンジン：5.4.00   ウイルス検索

これはウイルス性を有するVBScriptウイルスです。以下のような形のEメールでユーザーの元に届きます。

件名： "Dangerous Virus Warning"
本文： "There is a dangerous virus circulating. Please click attached picture to view it and learn to avoid it"
添付ファイル："virus_warning.jpg.vbs"

ユーザーが添付ファイルを実行した場合、このウイルスはWindows Scripting Hostを用いて発動します。Windows Scripting Hostは、通常、Internet Explorer v5がインストールされているWindows9x, NTにのみ導入されています。

このウイルスが発動すると、Loveletterウイルスは以下の場所に自分自身のコピーを落し込みます。

WINDOWS\SYSTEM\MSKERNEL32.VBS
WINDOWS\WIN32DLL.VBS
WINDOWS\SYSTEM\virus_warning.jpg.vbs

また以下のレジストリキーを追加し、システム起動時に自分自身を起動させようとします。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\Run\MSKernel32=WINDOWS\SYSTEM\MSKernel32.vbs

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\RunServices\Win32DLL=WINDOWS\Win32DLL.vbs

このウイルスは、ホストシステムに接続されているすべてのドライブを走査し、以下の拡張子のファイルを自分自身のコピーと置換し、さらにオリジナル・ファイル名に拡張子.VBSを追加します。

*.JPG
*.JPEG

つまりPICT.JPGファイルは、PICT.JPG.VBSというファイル名になります。このファイルにはウイルスが内蔵されていることになります。

またこのウイルスは以下のファイルを自分自身で上書きし、ファイル名を *.VBSに置き換えます。

*.CSS
*.DOC
*.GIF
*.HTA
*.HTM
*.HTML
*.JS
*.JSE
*.SCT
*.TXT
*.VBE
*.VBS
*.WAV
*.WSH
*.XLS
またこのウイルスは以下のファイルタイプのインスタンスを捜索し、

*.MP3
*.MP2

見つかった場合は、隠し属性を付加し、拡張子に.VBSを付与します。例えば2PAC.MP3のようなファイルがあった場合、それは隠しファイル2PAC.MP3.VBSに変更されます。

このウイルスは、Urgent_virus_warning.htmというファイルを作成します。このファイルにはウイルス自体が含まれています。またシステムにIRCクライアントがインストールされている場合、このファイルがIRCチャンネルに送付されます。この動作は、ウイルスがSCRIPT.INIファイルを置きかえることにより実行されます。

このファイルのタイトルは"Dangerous Virus Warning".というもので、内容は以下のような物です。

To view the picture please follow the instructions
Select [YES] for your viewing pleasure

Yesを選択した場合、ファイル内のウイルスコードScriptが発動します。

しばらくの休止時間の後、このウイルスはMicrosoft Outlookを用いて、自分自身をアドレスブック内のすべての宛先に送付します。このメールは最初に受信したものと内容は同一です。

またInternet Explorerのスタートページ設定を書き換えて、Tucows.com から"E-Mail Remover"というプログラム（ファイル名："SETUP24.EXE"）をダウンロードさせようとします。これは正常なプログラムであり、トロイの木馬ではありません。このプログラムの詳細は、このリンクから参照できます（英文）。