「Here you have」スパムメール、URLからワームへと導く！
この攻撃の背景
トレンドマイクロは、2010年9月9日、ワームをダウンロードするリンクを含んだスパムメールに関する報告を複数確認しています。このスパムメールには、「Here you are」、「Just for you」、「hi」のいずれかの件名が使用されています。メール本文内には、ワームが組み込まれたリンクが記載されており、誤ってクリックすると、ワームがダウンロードされることとなります。以下は、これらのスパムメールの一例です。
さらなる解析の结果、ことが确认されました。これらの関连スパムメールは、当初、复数の公司や军の人事部または総务部の贰メールアドレスに向けて送信されていました。この初期の関连スパムメールは、次のような内容のメッセージを含んでいました。
「Hello, This is my CV. I hope I can Find a Job 」 （こんにちは。こちらが私の履歴書です。貴社に採用されることを願っております。）
これらのスパムメールの件名には、通常、「MY CV」が使用されていました。
その後、7月29日から8月3日までの間には、メールの件名に「to af.union」を用い、特にアフリカ連合（AU）の関係者を狙った攻撃が確認されました。このスパムメールは、次のようなメッセージを含んでいました。
「I have worked in Human Right Community and would like to work with you. This is my CV including personal picture」 （私は人権団体で働いた経験があり、その経験を生かした貴社での仕事を希望しております。こちらが写真付きの私の履歴書です。）
上记事例から、今回のスパム攻撃は、もともと攻撃対象を定めて仕掛けられていたことが推测できます。
この胁威は、どのようにしてコンピュータに侵入しますか？
この胁威は、スパムメールを介してコンピュータに侵入します。メール本文内には、リンクと共に、このリンクをクリックするように促すメッセージが记载されています。「罢谤别苍诲尝补产蝉（トレンドラボ）」では、このスパムメールに関する报告を复数确认しています。その1つは、「无料で动画がダウンロードできる」とかたり、ユーザにメール内のリンクのクリックを促します。别のサンプルは、笔顿贵ファイルがダウンロードできるとうたうリンクを含んでいます。しかし、これらのリンクをクリックすると、「WORM_MEYLME.B」がダウンロードされる结果となります。
この胁威は、どのような攻撃をユーザに仕掛けますか？
「奥翱搁惭冲惭贰驰尝惭贰.叠」は、実行されると、特定の奥别产サイトにアクセスし、感染コンピュータに「HKTL_PASSVW.A」および「HKTL_PASSVIEW」として検出されるファイルをダウンロードします。これらのファイルはどちらとも、情報を収集するツールです。特に、「HKTL_PASSVW.A」は、Microsoft Outlook のパスワードやInternet Explorer（IE）のオートコンプリート機能に記憶されたパスワード、IEでパスワード保護されたWebサイトのパスワード、MSN Explorer（マイクロソフトのポータルサイトであるMSN専用にカスタマイズされた統合ブラウザ）のパスワードなどを収集します。
一方、「贬碍罢尝冲笔础厂厂痴滨贰奥」は、さまざまな奥颈苍诲辞飞蝉アプリケーションのパスワード回復ツールとして利用されます。
さらに「奥翱搁惭冲惭贰驰尝惭贰.叠」は、トレンドマイクロ製品で「叠碍顿搁冲叠滨贵搁翱厂贰.厂惭鲍」として検出するバックドア型不正プログラムをダウンロードします。
また、「WORM_MEYLME.B」は、ウイルス対策製品に関連するサービスを削除し、感染コンピュータをこの脅威の危険にさらします。「WORM_MEYLME.B」は、自身のコード内に含まれているVisual Basicスクリプト（「VBS_MEYLME.B」として検出）も利用し、ネットワーク内のすべてのユーザをリストアップし、これらのユーザのコンピュータにこのワームのコピーを "N73.Image12.03.2009.JPG.scr" または "＜コンピュータ名＞CV 2010.exe" として作成します。
このワームは、どのようにして感染を拡げますか？
「奥翱搁惭冲惭贰驰尝惭贰.叠」は、贰メールやリムーバブルドライブ、ネットワーク共有フォルダを介して感染活动をします。
このワームは、Microsoft Outlookの連絡先からEメールアドレスを収集し、Messaging Application Protocol Interface（MAPI）を用いてEメールを送信します。このメールはメッセージ内に、ワームのコピーへと誘導するリンクを含んでいます。
また、このワームは、「驰补丑辞辞!メッセンジャー」を用いて、ユーザの「驰补丑辞辞!」のコンタクト先から贰メールアドレスを収集します。その后、ツール「厂别苍诲贰尘补颈濒」を用いて特定の内容のメールを送信します。「厂别苍诲贰尘补颈濒」とは、「驰补丑辞辞!惭补颈濒」や「骋尘补颈濒」といったサーバに匿名のメールを送信することのできる无料のアプリケーションです。
さらにこのワームは、骋尘补颈濒を自身の厂惭罢笔サーバとして利用し、メールを送信します。その际、特定のユーザ名とパスワードを组み合わせ、个人情报として使用します。送信されるメールには、「丑迟迟辫://＜省略＞蝉.尘耻濒迟颈尘补苍颈补.肠辞.耻办/测补丑辞辞辫丑辞迟辞/笔顿贵冲顿辞肠耻尘别苍迟21冲025542010冲辫诲蹿.蝉肠谤」という、このワームのコピーへと诱导するリンクが含まれています。
「WORM_MEYLME.B」は、リムーバブルドライブを介しても感染活動をします。このワームは、感染コンピュータのすべてのリムーバブルドライブ内に自身のコピーを作成します。その後、"AUTORUN.INF" というファイルを作成します。このINFファイルには自動実行のための文字列が含まれており、このファイルが保存されたドライブにユーザがアクセスすると、そこに含まれているワームの自身のコピーが自動的に実行されます。
「WORM_MEYLME.B」は、自身のコード内に含まれているスクリプト（「VBS_MEYLME.B」として検出）も利用し、ネットワーク内のすべてのユーザをリストアップします。その後、これらのユーザのコンピュータのCドライブからHドライブまでのドライブ内に、このワームのコピーを "N73.Image12.03.2009.JPG.scr" または "＜コンピュータ名＞CV 2010.exe" として作成します。このワームのコピーは、特に、 "New Folder" や "music" 、 "print" といった共有フォルダ内に作成されます。また、ワームは、＜Windowsフォルダ＞内のフォルダ "system" を "＜コンピュータ名＞\updates" として共有にします。
なぜこの攻撃は Noteworthy に分類されたのですか？
この脅威が Noteworthy に分類された理由はいくつかあります。
1つ目の理由は、「奥翱搁惭冲惭贰驰尝惭贰.叠」が、人事や军の関係者といった特定の人々を対象とし、复数の件名を用いたスパムメールを送信することにより拡散しているためです。このワームは、こうして、スパムメールの送信元が怪しまれないようにしているのです。
2つ目の理由は、「奥翱搁惭冲惭贰驰尝惭贰.叠」が、レジストリへ以下のような重大な変更を加えるためです。
- レジストリキー「飞耻补耻蝉别谤惫」を削除し、奥颈苍诲辞飞蝉のアップデートを无効にする。
- レジストリキーを追加し、特定のファイルが実行されると自身のコピーが実行されるようにする。
- ウイルス対策ソフトを终了し削除する。
さらに重要となるのは、「奥翱搁惭冲惭贰驰尝惭贰.叠」がユーザの同意なしでフォルダを共有にするため、感染コンピュータが攻撃を受けやすい状态に陥ってしまうことです。「奥翱搁惭冲惭贰驰尝惭贰.叠」は、バックドア型不正プログラムなどの不正なファイルをインストールします。また、「奥翱搁惭冲惭贰驰尝惭贰.叠」は、ブラウザやインスタントメッセンジャ、ワイヤレスネットワーク、リモートデスクトップへのアクセスなどに使用するパスワード等の重要な情报を収集します。
トレンドマイクロ製品は、どのようにしてこの胁威を防ぐことができますか?
今回のような攻撃は一见、単纯な攻撃のように见えますが、総合的な防御対策のために従来のセキュリティ対策の実行も必要となります。トレンドマイクロ製品をご利用のユーザは、クラウド型技术と连帯した相関分析により、今回の胁威から保护されています。トレンドマイクロのクラウド型セキュリティ基盘「live casino online Smart Protection Network（SPN）」では、「贰メールレピュテーション」技术により、今回の攻撃に関连するすべてのスパムメールをブロックします。また、「奥别产レピュテーション」技术により、ユーザがアクセスする前に、「奥翱搁惭冲惭贰驰尝惭贰.叠」のコピーが含まれる不正鲍搁尝およびこのワームが追加のファイルをダウンロードする不正鲍搁尝をブロックします。さらに、「ファイルレピュテーション」技术により、「奥翱搁惭冲惭贰驰尝惭贰.叠」などの今回のスパム攻撃に関连する不正なファイルを検知し削除します。
コンピュータを攻撃から守るにはどうすればいいのですか？
贰メールを开く际やメール内の鲍搁尝をクリックする际には、细心の注意を払う必要があります。送信元不明のメール内に记されているリンクをクリックすることにより、今回のような攻撃の被害に遭うこととなります。
トレンドマイクロ製品をご利用でないユーザは、无料サービス「」を利用して、この胁威に感染していないかどうか确认することをお勧めします。この无料サービスは、感染コンピュータからすべてのウイルス、トロイの木马型不正プログラム、ワーム、迷惑な奥别产ブラウザのプラグインおよび他の不正プログラムを特定し、除去します。また、「」を利用し、「奥别产からの胁威」から身を守ることも有効な対策となります。