ベンダー各社、外部からのリモート操作が可能なウイルスを警告

■URL
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_LOVGATE.C
http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.hllw.lovgate.c@mm.html
http://www.nai.com/japan/virusinfo/virL.asp?v=W32/Lovgate@M

　トレンドマイクロやシマンテック、ネットワークアソシエイツなどウイルス対策ベンダー各社は、感染すると外部からリモート操作が可能なトロイの木馬型ウイルス「Lovgate」を警告した。

　Lovgateは、メールやファイル共有を利用して感染を広げ、バックドアを開けて悪意のあるユーザーからのリモート操作を可能にしてしまうウイルスだ。ウイルス対策ベンダー各社は、危険度や感染力を「中」や「高」として注意を促している。

　Lovgateに感染すると、まず自身のコピーを「Windowsシステムフォルダ」に作成し、レジストリーを改変することにより、TXTファイルが開かれる度に自身が実行されるようにする。また、Winodows起動時にも自身を起動するように変更を加える。

　ワーム活動では、「OutlookかOutlookExpressで受信したメールすべてに対して返信の形で送信する」と、「拡張子が“.ht*”のファイルからメールアドレスを探し出して自身を送信する」の2種類の活動が行なわれる。

　OutlookExpressなどから返信するメールの形式は以下の通りなので、この内容のメールを見たら、細心の注意が必要だ。

件名：RE: 「元メールの件名」

メール本文：

"「感染マシン名」" wrote:
====

「元メールの本文」

====

YAHOO.COM Mail auto-reply:
' I'll try to reply as soon as possible.
Take a look to the attachment and send me your opinion! '
Get your FREE YAHOO.COM Mail now!

　拡張子が“.ht*”のファイルからメールアドレスを見つけ出して送信する場合は、「件名： Documents、本文： Send me your comments」、「件名： Roms、Test this ROM! IT ROCKS!」など10種類の組み合わせからランダムに選択される。また、ファイル共有が行なわれているファイルにアクセスを試みる。

　バックドア活動では、ポート10168を開き、このポートを通じてコマンドを送信することによって、外部から感染マシンをリモートコントロールできるようにする。実際に外部から行なえる行動は、「プログラムの実行」、「情報の取得」、「バックドアプログラムの設定変更」で、大変危険な状態となる。また、この時に感染マシンがアクセスできるという旨のメールを「54love@fescomail.net」と「hacker117@163.com」宛てに送信する。

　ウイルス対策ベンダー各社では、Lovgateに対応したウイルス定義ファイルを提供しているが、Lovgateは独立したプログラムのため、ウイルス対策ソフトでは駆除できない。従って、発見された際にはそのプログラムを手動で削除しなければならない。また、万が一感染してしまった際には、レジストリー値の削除などを行なわなければならないため、普段レジストリーを操作しないユーザーは、ベンダー各社が提供するツールを利用した方が安全だ。

　トレンドマイクロによると、「25日15時現在で世界的に12件、日本では5件の感染が確認されており、感染力の高さなどから注意が必要だ」とのこと。

(2003/2/25)

[Reported by otsu-j@impress.co.jp]