© 1995-2006 Symantec Corporation. All rights reserved. 商標について プライバシーポリシー
VBS.LoveLetter.A
最終更新日: 2000年5月9日 00:00 (米国時間)
SARCでは現時点で、VBS.LoveLetterワームとその亜種・変種を29種類発見しています。 最新の変種は、VBS.LoveLetter.ACです。 2000年5月9日付のウイルス定義ファイルは、現在認識済みの亜種・変種ワームを全て検出・駆除します。 Norton AntiVirusのユーザは、LiveUpdate機能を使用するか、または、こちらをクリックし、最新のウイルス定義をダウンロードすることにより、既知のVBS.Loveletterワーム全てに対応することができます。 VBS.LoveLetterまたは変種ワームに感染した場合の修復ツールは、 こちらにあります。 シマンテック アンチウイルス センター(SARC)には、2000年5月4日（世界標準時）早朝からこのワームに関する報告が寄せられています。 VBS.LoveLetterワームはフィリピンのマニラから発信されたらしく、その後、世界中の数百万台ものコンピュータに感染しました。 このワームは、Microsoft Outlookのアドレス帳にある電子メールアドレスや、mIRCを介してインターネット上のチャットルームに自分自身を送信します。 その後、ローカルドライブや他の接続しているドライブ上にある、次の拡張子を持つファイルに上書きします。 .vbs, .vbe, .js, .jse, .css, .wsh, .sct, .hta, .jpg, .jpeg, .wav, .txt, .gif, .doc, .htm, .html, .xls, .ini, .bat, .com, .mp3, .mp2 これらのファイルの内容は、ワームのソースコードに置き換えられ、元の内容は破壊されます。また、感染したファイルには、.vbsという拡張子が付加されます。たとえば、 image.jpgというファイルに感染した場合、そのファイル名はimage.jpg.vbsになります。ただし、拡張子が.mp2または.mp3のファイルは、非表示状態になるだけで、実際には破壊されません。 Norton Systemworksのユーザは、感染時にNProtectを実行していた場合、これらのファイルを復元させることができます。 このワームはまた、 パスワードを盗むトロイの木馬型プログラムをWebサイトからダウンロードしようとします。 シマンテックで現在確認しているVBS.Loveletterは、次の29種類です（2000年5月9日現在）。
別名: Lovebug, I-Worm.LoveLetter, VBS/LoveLetter.A, VBS/LoveLet-A
種別: ワーム
感染サイズ: 10,307バイト
被害状況
危険性評価グラフ
被害状況: 高
ダメージ: 中
感染力: 高
ダメージ
感染力
VBS.LoveLetterが実行されると、次の場所に自分自身のコピーを作成します。
このワームは、WindowsシステムディレクトリにWinfat32.exeが存在するか調べます。このファイルが存在しない場合、Internet ExplorerのスタートページをWin-bugsfix.exeというファイルがあるWebサイトに設定します。現在、このWebサイトには接続できません。閉鎖されているようですが、Webサーバの過重負荷による可能性もあります。 Norton AntiVirusは、上記によりダウンロードされたWin-bugsfix.exeを、PWSteal.Loveletterとして検出します。 このファイルが存在する場合、そのファイルがシステム起動時に実行されるよう、以下のレジストリキーが作成されます。 HKLM\Software\Microsoft\Windows\ CurrentVersion\Run\WIN-BUGSFIX その後、インターネットのスタートページが空白ページに置き換わります。 このワームは、ネットワークドライブも含む各ドライブ上で、拡張子が.vbsまたは.vbeのファイルに感染しようとします。また、拡張子が .vbs, .vbe, .js, .jse, .css, .wsh, .sct, .hta, .jpg, .jpeg, .wav, .txt, .gif, .doc, .htm, .html, .xls, .ini, .bat, .com, .mp3, .mp2 のファイルを探し、該当するファイルが見つかると、同じファイル名に拡張子.vbsを付けたファイルを作成し、そこに自分自身をコピーして増やします。 このようなファイルを1つでも実行またはダブルクリックすると、そのコンピュータが感染することになります。 このワームはまた、チャットルームの他のユーザにLove-letter-for-you.htmファイルを送る script.iniファイルをmIRCプログラムディレクトリに作成し、mIRC経由でも感染を広げます。 このワームはMicrosoft Outlookアプリケーションに対するMAPIを呼び出して次のようなメールメッセージを作成し、Microsoft Outlookのアドレス帳に登録されている全て のアドレスに送りつけます。このとき、1人につき1回だけ送信されるよう、レジストリで各受信者に印を付けます。 メール件名： ILOVEYOU メール本文： kindly check the attached LOVELETTER coming from me. このメールには次の名前のファイルが添付されます。 Love-letter-for-you.txt.vbs 最後に、Love-letter-for-you.htmというファイルをWindowsシステムディレクトリ内にコピーします。 このファイルは、ユーザがインターネットチャットルーム にログインしているときに、mIRCを通じて送信されます。 変更されるレジストリエントリ 追加されるレジストリキー： HKLM\Software\Microsoft\Windows\ CurrentVersion\Run\MSKernel32 HKLM\Software\Microsoft\Windows\ CurrentVersion\RunServices\Win32DLL HKLM\Software\Microsoft\Windows\ CurrentVersion\Run\ESKernel32 HKLM\Software\Microsoft\Windows\ CurrentVersion\RunServices\ES32DLL HKLM\Software\Microsoft\Windows\ CurrentVersion\Run\WINFAT32 HKLM\Software\Microsoft\Windows\ CurrentVersion\Run\WIN-BUGSFIX 上記プログラムのうち、1つ、またはそれ以上が、ユーザごとに次の場所に追加される可能性があります。 HKEY_USERS\username\Software\Microsoft\ Windows\CurrentVersion\Run 削除されるレジストリキー： HKLM\Software\Microsoft\Windows\CurrentVersion\ Policies\Network\HideSharePwds HKLM\Software\Microsoft\Windows\CurrentVersion\ Policies\Network\DisablePwdCaching HKLM\Software\Microsoft\Windows\CurrentVersion\ Policies\Network\HideSharePwds HKLM\Software\Microsoft\Windows\CurrentVersion\ Policies\Network\DisablePwdCaching また、多数のDWORDレジストリ値が次の場所に作成され、その数はメールの送信件数により決まります。 HKEY_USERS\username\SOFTWARE\ Microsoft\WAB これらのキーの記述形式は、マシンにより異なります。
Symantec Security Response では、すべてのユーザと管理者の皆様に対し、基本的なオンライン・セキュリティ対策として日常的に次のことを実行することを奨励しています。
VBS.LoveLetterとその変種に対する感染修復ツールは、 こちらで入手可能です。
