1月27日以降，各ベンダーや組織が警告している「Mydoom（Novarg，MIMAIL.R）」ウイルスは，Mydoomが添付されたメールの送信者アドレスを詐称するので要注意である（関連記事）。送信者アドレスにあなたのアドレスが使われている場合には，感染していなくても「ウイルス通知メール」や苦情を受ける可能性がある。メール・サーバーからのエラー・メールにMydoomが添付されて送られてくる場合もある。
メールで感染を広げるMydoomが猛威を振るっている（関連記事）。単独のファイル（拡張子は.pif，.scr，.exe，.cmd，.bat のいずれか）として送られてくるMydoomを実行すると，Mydoomは自分自身を添付したメールを大量に送信する（これ以外の挙動については 関連記事を参照のこと）。Mydoomが圧縮ファイル（拡張子は.zip）として送られてくる場合もある。
Mydoomはメールを送信する機能を備えている。他のメール・ソフトの力を借りる必要がない。このため，使用しているメール・ソフトにかかわらず，ウイルス・メールが送信される。当然，メール・ソフトに送信履歴は残らない。
ウイルス・メールの送信先アドレスは，Mydoomが実行されたパソコン内のファイルから収集する。具体的には，拡張子が「.wab」や「.htm」，「.txt」などのファイルから，メール・アドレスと思われる文字列を収集する。そして，収集したアドレスすべてにMydoom添付メールを送信する。
このとき収集したアドレスは，送信元アドレスにも使用される。Mydoomを実行したユーザーのアドレスは使用されない。しかしながら，Mydoomメールを受け取ったユーザーや，Mydoomメールをチェックしたウイルス対策ソフトには，送信元アドレスのユーザーから送られたように見える。
ウイルス対策を実施しているにもかかわらず，「あなたからウイルス・メールが送られてきた」という通知メールや苦情を受けた場合には，送信元アドレスにあなたのアドレスが使われている可能性が高い。通知メールについては無視して構わない。苦情を受けた場合には，メールの「Received」ヘッダーを調べてもらえば，ほとんどの場合，疑いを晴らせるだろう。
あなたのアドレスが送信元アドレスに使われて，なおかつ送信先アドレスが無効だった場合には，Mydoomを添付したメールがエラー・メールとしてメール・サーバーから送られてくる。この場合，メールの件名はそのメール・サーバーが付けるので，Mydoomが付ける「hi」や「hello」などではない。
このとき，「自分の送ったどのメールが返ってきてしまったのだろうか」と考えて，安易に添付ファイルを開くと，Mydoomが実行されることになる。要注意である。もちろん，最新のウイルス定義ファイルをインストールしたウイルス対策ソフトを使っていれば，Mydoomの実行を止めてくれる。
送信元アドレスを詐称するウイルスはめずらしくない。しかし，Mydoomの場合には急速に感染を拡大しているために，問題になっているようだ。
ユーザーをだます手口がてんこ盛り
自分のアドレスが送信者アドレスとして使われた場合にも，メール・サーバーからのものと思えるメールにMydoomが添付されて送られてくることもある。Mydoomは，自身を添付したメールの件名を「Mail Delivery System」「Mail Transaction Failed」「Server Report」などとして，メール・サーバーからのメールに見せかける場合がある。通常の場合でも，メール・サーバーから送られてくるメールは英語で記述されることがほとんどなので，ユーザーは油断しがちだ。
メールの本文も“工夫”している。例えば，「The message contains Unicode characters and has been sent as a binary attachment.」や「The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.」とする場合がある。これを読むと，普段なら実行形式ファイル（バイナリ・ファイル）を開かないユーザーでも，開いてしまう可能性は高い。
“工夫”は添付ファイル（Mydoomの実体）にも及ぶ。まず，添付ファイル名を「readme.htm（70個の半角スペース）.scr」などとする場合がある。開いても安全と思われる拡張子（htmやtxt）をまず付けて，その後ろに多数のスペースを入れる。その後に，“本当”の拡張子を付ける。本当の拡張子は離れて表示される（メール・ソフトによっては表示されない）ので気がつきにくい。
zipファイルとして送られてくる場合はさらに“効果的”だ。例えば，「readme.htm（70個の半角スペース）.scr」がzipファイルとして送られてくる場合には，「readme.zip」として添付されてくる。展開して作成された「readme.htm（70個の半角スペース）.scr」の「.scr」がWindows上では分かりにくい。
添付ファイルのアイコンも“工夫”している。ファイルの拡張子が「scr」や「exe」の場合には，メモ帳のアイコンが表示されるようにしている。Mydoomの中に，このアイコン画像が含められているのである。これにより，Mydoomがテキスト・ファイルに見える。
しかも，実行されると，Windowsに標準でインストールされているメモ帳プログラム（Notepad）を起動する。メモ帳の画面にはランダムな文字列が表示される。これを見たユーザーの多くは，「添付されたテキスト・ファイルはメモ帳に関連付けられているので，メモ帳が起動したんだな。表示されているランダムな文字列が，このファイルの中身なんだな」と思うだろう。この一連の挙動は極めて自然なので，自分がウイルスを実行してしまったこと，“裏”でウイルスが動いていることにユーザーは気がつかない。
Mydoomは，ユーザーが実行しない限り動き出すことはない。しかし，ユーザーをだます手口を複数用意している。これが，Mydoomがまん延している一因だと考えられる。2001年9月に出現した「Nimda」以降，セキュリティ・ホールを突くウイルスが“主流”となった。だが，ユーザーをだまして実行させる「ソーシャル・エンジニアリング」的な方法が依然有効であることをMydoomは示した。今後も同様のウイルスが多数出現することだろう。十分注意する必要がある。
◎参考資料
◆CERT Advisory CA-2004-02 Email- borne Viruses（米CERT/CC）
◆「W32/Mydoom」（別名：Novarg）ウイルスに関する情報（IPA/ISEC）
◆Mydoom に関する情報（マイクロソフト）
◆大量に電子メールを配信するワーム（JPCERT/CC Vendor Status Notes）
◆W32.Novarg.A@mm（シマンテック）
◆WORM_MIMAIL.R（トレンドマイクロ）
◆W32/Mydoom@MM（日本ネットワークアソシエーツ）
（勝村 幸博＝IT Pro）
