メールをプレビューしただけで感染する「BUGBEAR」亜種の感染が拡大中

【セキュリティ】

メールをプレビューしただけで感染する「BUGBEAR」亜種の感染が拡大中

■URL
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=PE_BUGBEAR.B
http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.bugbear.b@mm.html
http://www.nai.com/japan/virusinfo/virB.asp?v=W32/Bugbear.b@MM
http://www.microsoft.com/japan/technet/security/bulletin/ms01-020.asp

　トレンドマイクロ株式会社やシマンテック株式会社などウイルス対策ベンダー各社は5日、2002年10月に発見されたウイルス「BUGBEAR」の亜種「BUGBEAR.B」が日本や世界各地で感染を広げているとして警告した。シマンテックは危険度を5段階中の4、トレンドマイクロは5段階中の3と設定している。

　「BUGBEAR.B」は、大量メール送信やネットワーク共有を利用して感染を広げるウイルス。特徴は、さまざまなウイルス対策プログラムやファイアウォールなどのセキュリティ関連アプリケーションの停止を図るほか、Internet Explorerの脆弱性「MS01-020」を利用し、修正パッチをあてていない場合はプレビューしただけで感染する点が挙げられる。

　BUGBEAR.Bに感染すると、自分自身をWindowsのシステムファイルにコピーする。その後、PCに保存されている拡張子「.eml」や「.mbx」、「.dbx」などの7種類のファイルからメールアドレスを探し出し、独自のSMTPエンジンを利用して発見したすべてのメールアドレスに対してメールを送信する。その際には、メールの差出人欄を詐称する。

　送信するメールは、既存のメッセージに返信/転送するか、または複数の候補の中から“件名”や“本文”“添付ファイル”をそれぞれランダムで選択して送信する。このBUGBEAR.Bが送信するメールは、脆弱性「MS01-020」を利用することによって、受信者がプレビューしただけで自動的に実行されるように作成されているため、感染を防ぐためにはマイクロソフトより提供されている修正パッチを適用しなければならない。

　また、ネットワーク共有を利用した感染を試みる。ネットワーク上にある特定のファイル名に一致するファイルを探し出し自分自身をコピーしようとするほか、すべての共有ネットワークやPCを探し出し感染を図る。このほかにも、キーロガー機能をWindowsのシステムファイルにコピーし、「ZONEALARM.EXE」や「ANTI-TROJAN.EXE」などのウイルス対策プログラムやファイアウォールなどのセキュリティ関連プロセスの停止を図る。

　感染した場合は、ウイルス対策プログラムでウイルス検索を行ない、「BUGBEAR.B」で検出したファイルや感染後ウイルスによって作成されたフォルダなどをすべて削除し、その後レジストリを修正しなければならない。また、日本ネットワークアソシエイツでは、「BUGBEAR.B」を駆除するツールを提供している。

(2003/6/6)

[Reported by otsu-j@impress.co.jp]

【INTERNET Watchホームページ】

INTERNET Watch編集部internet-watch-info@impress.co.jp