McAfee for Small Businesses

・W32/Mimail.q@MMはW32/Mimail@MMの新しい亜種です。ポリモフィック型のドロッパコンポーネント（メールで送信）から構成され、メールの送信を行う別のファイル（OUTLOOK.EXE）をドロップ（作成）します。

・W32/Mimail.q@MMの特徴は以下のとおりです。

• メッセージを作成するために自身のSMTPエンジンを内蔵
• 送信メッセージの多様な添付ファイル
• ターゲットマシンから宛先の電子メールアドレスを収集
• ユーザ情報をフィッシング詐欺するワームで、偽の「Microsoft Windowsのライセンス満了」ウィンドウを表示して、ユーザにクレジットカード情報などの入力を促がします

総称による検出

・ターゲットマシンの%WinDir%にドロップ（作成）されるメールコンポーネント（OUTLOOK.EXE）は、定義ファイル4313以降でW32/Mimail.gen@MMとして検出されます。

・上記で指定したエンジンと定義ファイルでは、このコンポーネントはW32/Mimail.q@MMとして検出されます。

電子メールを介した繁殖

・W32/Mimail.q@MMは、自身のSMTPエンジンを使用して電子メールメッセージを作成します。これまで発見された亜種と同様に、大量メール送信ルーチンでは、（収集された）ターゲット電子メールアドレスのドメインをメールサーバにクエリして、ターゲットドメイン上でMX検索します。次に、SMTPサーバを介してメッセージを送信します。

・ターゲットマシンからターゲット電子メールアドレスを収集して、以下のファイルに書き込みます。

• %WinDir%\OUTLOOK.CFG

・送信先の電子メールアドレスは、これまで発見された亜種で使用された方法と同様に、ターゲットマシンの特定のファイルから収集されます。

・初期の分析によると、 以下のような送信メッセージが作成されます。

・件名と本文：

・メッセージの件名と本文は、W32/Mimail.q@MM内の文字列から作成されます。生成する文字列はさまざまです。件名の例は以下のとおりです。

• smart photos PRIVATE
• Hi my sweet Nancy ...
• sexy picture FOR YOU ONLY
• Good evening my darling Margaret

・添付ファイル：

・32,768バイトの多様なバイナリコードで、ファイル名は異なります。ファイル名および拡張子は、W32/Mimail.q@MM内の文字列から作成されます。以下の拡張子が使用される可能性があります。

• .SCR
• .EXE
• .PIF
• .JPG.SCR
• .JPG.PIF
• .JPG.EXE
• .GIF.EXE
• .GIF.PIF
• .GIF.SCR

データ詐取

・W32/Mimail.q@MMは、ターゲットユーザに、Microsoft Windowsのライセンスが切れることを知らせる偽のダイアログを表示します。クレジットカードの詳細情報などの個人情報を収集するために、フォーム（以下にイメージを貼り付け）が表示されます。

・このフォームのデータは、以下のファイルに書き込まれます。

• C:\MMINFO.TXT