～複数の感染経路やプレビューしただけで感染するなど感染力が高い

トレンドマイクロ、“最強最悪”のウィルス「LIRVA」を警告

■URL
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_LIRVA.A
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/ms01-020.asp

ウィルス「LIRVA」を警告するサイト

　トレンドマイクロ株式会社は8日、メール、ICQ、LAN、ファイル共有ソフトなど複数の感染経路を持つ“最強最悪”のウィルス「WORM_LIRVA.A」を警告した。8日18時の段階で日本での感染報告は無いものの、フランスでは10件の感染が報告されている。現在のところ危険度「低」だが、感染力の高さから予断を許さない状況だ。

　「WORM_LIRVA.A」は、1月7日に発見されたトロイの木馬型ウィルスで、複数の感染経路や破壊活動等を行なう。主な活動を挙げると、「自分自身のコピーを作成」、「独自のSMTPによる自分自身の大量送信」、「ネットワークドライブへの感染」、「パスワード漏えい」、「アンチウィルスソフトの停止」などとなっている。

　実際に感染すると、まず自分自身を「隠し属性」で作成し、レジストリーの改変を行なう。続いて、独自のSMTPエンジンを利用して感染を広げる。送信する際のSMTPサーバーはレジストリーから取得する。送信するメールの特徴は以下の通り。

• HTML形式
• From欄：詐称する
• 件名：「Fw:」「Re:」「Fwd:」で始まっている
• 添付ファイル：拡張子が「exe」となっている

　メール感染のほかにも、ネットワーク感染、IRC、ICQ、ファイル共有ソフトの「KaZaA」など多くの感染経路を持つため、感染力は高い。また、Internet Explorerの脆弱性「MS01-020」を利用してプレビューしただけでも感染してしまうため、メーラーのプレビュー機能を切っておくことが推奨されている。

　ほかには、特定のメールアドレスにパスワードを送信する「パスワード送信機能」や、「NAVW32.EXE」や「ZONEALARM.EXE」などのアンチウィルスプログラムのプロセスを終了させる機能なども持ち合わせている。このように、過去に甚大な被害をもたらした「Nimda」のプレビューしただけで感染する機能や、「Klez」のFROM欄詐称機能など、危険度の高い機能を併せ持っているため、十分な注意が必要だ。

　万が一感染した場合は、レジストリーの修正や、ウィルス対策ソフトで検索し「WORM_LIRVA.A」の削除を行なわなければならない。なお、トレンドマイクロでは、最新の定義ファイルで対応済みとのこと。

　トレンドマイクロでは、「まだ日本での感染報告はないものの、さまざまな機能を持ち、さらに複数の感染経路を持つことからも、感染力が高く一度広がりだすと爆発的に広がる可能性があるため、十分な警戒が必要だ」としている。

(2003/1/8)

[Reported by otsu-j@impress.co.jp]