製品情報
導入事例
サービス
サポート
ダウンロード
セキュリティ情報
 
- 最新ウイルス一覧
- ウイルス検索
- 駆除ツール
- 主要ウイルスナビゲータ
- Daily DATリリースに関するFAQ
- ウイルス絵とき理解
- ウイルス画像事典
- ウイルス解析依頼
- ウイルス用語集
- ウイルスの危険度格付け
- セキュリティ対策のヒント
- 無料セキュリティ情報サービス
パートナー
会社案内
個人のお客様
中堅・中小企業のお客様
企業のお客様
製品アップグレード
評価版
セミナー・イベント
キャンペーン
サポートQ&A
お問い合わせ
Global Sites:
Home → セキュリティ情報 → ウイルス情報：M
ウイルス情報
ウイルス名危険度
W32/Mydoom.ag@MM
企業ユーザ: 低[要注意]
個人ユーザ: 低[要注意]
種別ウイルス
最小定義ファイル
(最初に検出を確認したバージョン)		4405
対応定義ファイル
(現在必要とされるバージョン)		4405　（現在7083)
対応エンジン4.3.20以降　(現在5.4.00)　
エンジンバージョンの見分け方
情報掲載日2004/11/09
発見日（米国日付）2004/11/08
駆除補足ウイルス駆除のヒント
概要ウイルスの特徴感染症状感染方法駆除方法
セキュリティ情報

最新ウイルス一覧へ >>
最新ウイルス
05/21RDN/Generic ...
05/21RDN/Generic ...
05/21RDN/Generic....
定義ファイル・エンジンの
ダウンロード!
  定義ファイル：7083
 エンジン：5.4.00
 
ウイルス検索
 


ウイルスの特徴TOPに戻る

-- 2004年11月8日更新 --


・W32/Mydoom.ag@MMはメディアの注目を集めたので、危険度を“低〔要注意〕”に引き上げました。

通常定義ファイルがリリースされるまでの間は以下のEXTRA.DATをお使いください。
これらの定義ファイルは、W32/Mydoom.ag@MM と W32/Mydoom.ah@MM およびそれらのウイルスにより生成された電子メールメッセージの検出に対応しています。
EXTRA.DAT
SUPER EXTRA.DAT

・W32/Mydoom.ag@MMはMicrosoft Internet ExplorerのIFRAMEのバッファオーバーフローの脆弱性を対象とするゼロデイ攻撃を利用します。

・W32/Mydoom.ag@MMは、ローカルシステム上で検出されたアドレスに電子メールメッセージを送信することにより、繁殖します。メッセージの内容は以下のとおりです。

差出人：擬装アドレス 件名：（小文字が大文字に変わることがあります）
  • funny photos :)
  • hello
  • hey!
  • 空白
  • ランダムな文字列
本文： Look at my homepage with my last webcam photos!
または
本文： FREE ADULT VIDEO! SIGN UP NOW!

・電子メールのヘッダーには以下のいずれかのフィールドが含まれていることがあります。

  • X-AntiVirus: scanned for viruses by AMaViS 0.2.1 (http://amavis.org/)
  • X-AntiVirus: Checked by Dr.Web (http://www.drweb.net)
  • X-AntiVirus: Checked for viruses by Gordano's AntiVirus Software

・メッセージへの添付ファイルはありません。ホームページのハイパーリンクは電子メールメッセージを送信した感染システムに向けられます。リンクをクリックすると、乗っ取ったシステム上で動作しているWebサーバにアクセスします。Webサーバには、IFRAMEのバッファオーバーフローの脆弱性を利用して、ウイルスを自動的に実行するコードが組み込まれたHTMLが仕掛けられています。

・感染システムでは、Windows Explorerが、Webサーバが動作するTCPポート1639上で受信待機を行っていることが表示されます。

・ユーザがW32/Mydoom.ag@MMによって送信されたハイパーリンクをクリックすると、感染コンピュータ（http:// IP address:1639/webcam.htm）に接続されます。webcam.htmページに接続すると、Internet Explorerでバッファオーバーフローが発生します。さらに、ローカルマシンにリモートファイル（http:// IP address:1639/reactor）をダウンロードし、そのファイルをローカルファイル、%desktop%\vv.datに保存し、さらにダウンロードしたファイルを実行するように指示するシェルコードが実行されます。

以下の症状が見られる場合、このウイルスに感染している可能性があります。TOPへ戻る

・W32/Mydoom.ag@MMが動作すると、32.exeで終わるランダムなファイル名のファイルをWindowsのシステムディレクトリ（%WinDir%\system32）に作成します。次に、システムの起動時にW32/Mydoom.ag@MMをロードするレジストリ実行キーを作成します。

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
    Run "Reactor3" = C:\WINDOWS\System32\heztiv32.exe

・また、以下のレジストリキーも作成します。

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
    Explorer\ComExplore
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
    Explorer\ComExplore\Version
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
    Explorer\ComExplore
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
    Explorer\ComExplore\Version

・W32/Mydoom.ag@MMにはIRCサーバのリストが組み込まれており、TCPポート6667上で接続しようとします。

  • qis.md.us.dal.net
  • ced.dal.net
  • viking.dal.net
  • vancouver.dal.net
  • ozbytes.dal.net
  • broadway.ny.us.dal.net
  • coins.dal.net
  • lulea.se.eu.undernet.org
  • diemen.nl.eu.undernet.org
  • london.uk.eu.undernet.org
  • washington.dc.us.undernet.org
  • los-angeles.ca.us.undernet.org
  • brussels.be.eu.undernet.org
  • caen.fr.eu.undernet.org
  • flanders.be.eu.undernet.org
  • graz.at.eu.undernet.org

感染方法TOPへ戻る

・Mydoomの他の亜種と同様、W32/Mydoom.ag@MMはローカルシステムから電子メールアドレスを収集し、これらのアドレスに電子メールメッセージを送信します。しかし、これまでの亜種と異なり、感染メッセージには添付ファイルは含まれていません。代わりに、感染マシンに向けられたハイパーリンクが組み込まれています。ターゲットシステムが脆弱なMicrosoft Internet Explorerを実行している場合、ハイパーリンクをクリックすると感染します。

駆除方法TOPへ戻る
■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。

システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。

Windows ME/XPでの駆除についての補足

 VirusScan Enterprise 8.0i

・VSE8.0iは、このウイルスが広がることを防ぐのに効果的な、一般的なバッファオーバーフローをプロテクトする機能を有しています。
この機能は、デフォルトで動作するようになっています。


・上記の設定で、検出中にメッセージダイアログボックスが表示されます。