・W32/Wanor@MMは、定義ファイル4171〜4253とスキャンエンジン4.1.60を使用し、プログラムヒューリスティックスキャンを有効にするとNew Worm（特定のワーム名ではなく、ワームの総称）として検出されます。定義ファイル4171〜4252とスキャンエンジン4.2.40を使用し、プログラムヒューリスティックスキャンを有効にするとW32/Generic@MM（特定のワーム名ではなく、ワームの総称）として検出されます。定義ファイル4253とスキャンエンジン4.2.40を使用する場合は、ヒューリスティックスイッチを有効にしなくても、W32/Generic@MMとして検出されます。定義ファイル4254では、どのスキャンエンジンを使用してもW32/Wanor@MMとして検出されます。この情報掲載の時点では、AVERTは一般からこのウイルスのサンプルを受け取っていません。
・W32/Wanor@MMは大量メール送信型ワームで、eDonkey2000、KaZaa、Morpheus、Grokster、Bearshare、およびICQを介して繁殖します。
電子メールによる繁殖
・W32/Wanor@MMが実行されると、MAPIメッセージングを使用し、Windowsのアドレス帳にあるすべての受信者の電子メールアドレスに自身を送信します。このワームは、以下のような電子メールメッセージで届きます。
件名：（以下のいずれか）
- SAY NOT WAR
- Mobilizations against the War
- very good!
- di NO a LA GUERRA
- See content
- moooola, maaaazo
- See content!
本文：（以下のいずれか）
- que ca?a tio
- NOT WAR!!
- que guay macho!!
- SAY NOT WAR, NOT WAR, NOT WAR
- WAR ([Yes] | [Not])
- WAR ([Yes?] | [Not?]), see file
上記の本文の後に記載されるURL：
- ttp://www.punchdown.org/rvb/F15/
- ttp://www.sundayherald.com/28224/
添付ファイル：（以下のいずれか）
・以下の電子メールメッセージも送信します。
宛先: president@whitehouse.gov
件名: NOT WAR! ARE YOU THE ONLY DANGER FOR THE WORLD, FOR THE HUMANITY AND FOR THE HUMAN BEING
本文: You show us every day the danger that you represent for the world. Leave us in peace.
- ttp://www.punchdown.org/rvb/F15/
- ttp://www.sundayherald.com/28224/
添付ファイル: Winscr.scr
・このワームが実行されると、WINDOWS (%WinDir%)ディレクトリにWinscr.scrというファイル名で、WINDOWS\INF (%WinDir%\INF)ディレクトリにはWinm.exeというファイル名で自身のコピーを作成します。
・以下の複数のレジストリ実行キーを作成して、起動時にこのワームを読み込みます。
- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Run "Windows main module" = C:\WINDOWS\Inf\Winm.exe
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
Run "Windows main module" = C:\WINDOWS\Inf\Winm.exe
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
RunServices "Windows main module" = C:\WINDOWS\Inf\Winm.exe
・WINDOWS SYSTEM (%SysDir%)ディレクトリに、以下の2つのマーカファイルを作成します。
- Msdepw32.dll（ワームの実行回数のみ表示）
- Msdtv.dll（0バイトのファイル）
ピアツーピアを介した繁殖
・以下の共有フォルダに自身のコピーを作成します。
- レジストリで指定されたeDonkeyおよびKaZaaの共有フォルダ
- C:\Archivos de programa\Morpheus\My Shared Folder
- C:\Program Files\Grokster\My Grokster
- C:\Program Files\Bearshare\Shared
- C:\Program Files\ICQ\Shared files
発病ルーチン
・Msdepw32.dllファイルでワームの実行回数を確認します。Windows NT/2000/XPシステム上での実行回数が6回以上の場合は、以下のメッセージボックスを表示します。
・Windows 9x/MEシステム上での実行回数が20回以上の場合は、以下のメッセージボックスを表示し、システムトレイとデスクトップのアイコンを隠します。
