PR

 警察庁米CERT/CCなどは1月27日,メールで感染を広げるウイルス「Novarg(Mydoom,MIMAIL.R)」を警告した。同ウイルスに関する報告が多数寄せられているという。メールに添付されたNovargを実行すると,Novargを添付したメールが大量に送信される。2月1日以降には,米SCO Groupのサイト(www.sco.com)へDoS(サービス妨害)攻撃も仕掛ける。添付ファイル(Novargの実体)を実行しなければ被害に遭わない。ほとんどのウイルス対策ソフトでは,最新のウイルス定義ファイルで対応済み。

 同ウイルスについては,アンチウイルス・ベンダー各社も警告している。例えばシマンテックでは,「危険度レベル(5段階で,数字が大きいほうが危険)」を「4」に引き上げて注意を呼びかけている。トレンドマイクロでは「危険度」を「中」,日本ネットワークアソシエイツでは「高」に設定している(1月27日16時現在)。

 Novargはメールに添付されて送られてくる。ファイル名はいくつかの候補の中からランダムに付けられる。拡張子は「pif」「scr」「exe」「cmd」「bat」のいずれかになる。拡張子が「zip」のアーカイブ・ファイルとして送られてくる場合もある。なお,Novargファイルの拡張子が「exe」あるいは「scr」の場合には,テキスト・ファイルのアイコンが表示される。

 メールの件名は「hi」「hello」「test」「Mail Delivery System」「Mail Transaction Failed」「Server Report」「Status」「Error」など,メールの本文は「test」「Mail transaction failed. Partial message is available.」「The message contains Unicode characters and has been sent as a binary attachment.」「The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.」などになる。

 メールに添付されたNovargを実行すると,Windowsのメモ帳(Notepad)が実行される。メモ帳の画面中にはランダムな文字列が表示される。また,Novargは自分自身をパソコンにコピーし,Windowsの起動時に実行されるようにレジストリを改変する。

 その後,パソコン内のファイルからメール・アドレスを収集し,そのすべてのアドレスへ自分自身を添付したメールを送信する。収集したアドレスは,メールの送信者アドレスにも使用する。このため,Novargを添付したメールの送信者アドレスを信用してはいけない。ほとんどの場合,Novarg添付メールを送信したのは,その送信者アドレスを持つユーザーではない。

 ファイル交換ソフト「KaZaA」を使って感染を広げようともする。Novargを実行したユーザーがKaZaAを利用している場合には,KaZaAの共有ディレクトリにNovargがコピーされる。

 さらに,2月1日から2月12日までの間,SCO Groupのサイト(www.sco.com)へDoS攻撃を仕掛ける。具体的には,SCO Groupのサイトに対して,HTTPのGETリクエストを大量に送信する。加えて,外部からのアクセスを待ち受けるバックドア・プログラムをパソコンに仕掛ける。バックドアはTCPポート3127番などでアクセスを待ち受ける。

 ユーザーが添付ファイルを開かない限り,Novargが動き出すことはない。送信者アドレスが知人のアドレスであっても,メールの内容や件名などが少しでも怪しい場合には,添付ファイルを開くべきではない。

◎参考資料
Novarg(Mydoom,MIMAIL.R)ウイルスの蔓延について(1/ 27) (警察庁)
W32/Mydoom or W32/Novarg(米CERT/CC)
W32.Novarg.A@mm(シマンテック)
「W32.Novarg.A@mm」の危険度レベルを4に引き上げて注意を喚起(シマンテック)
WORM_MIMAIL.R(トレンドマイクロ)
W32/Mydoom@MM(日本ネットワークアソシエイツ)

(勝村 幸博=IT Pro)