米Network Associates，IEの古い脆弱性も悪用する新たな亜種「Netsky.P」を警告

2004.03.23

　米Network Associatesは米国時間3月22日，電子メールを大量送信するNetskyワームの新たな亜種「W32/Netsky.p@MM（Netsky.P）」の危険度評価を「中」に引き上げる警告を発した。ちなみに同社ウイルス対策技術研究機関であるMcAfee AVERT（Anti-Virus Emergency Response Team）は，Netsky.Pより前に出現したNetskyワームのうち3種類に「中」の危険度評価を与えている。

　Netsky.Pは，感染したマシンから電子メール・アドレスを取得し，自身の複製を「.ZIP」形式のファイルで送りつける。添付ファイル名には，ワーム自身に含まれる文字列を利用する。また，DNSサーバを検索してMXレコードを取得し，ターゲットとなるドメインのMTA（Mail Transfer Agent）に直接接続してメッセージを送信する。

　電子メールは以下のような内容で届く。
-------------------------------------------------------------
発信者：（感染したマシンから抽出した電子メール・アドレス）

件名：
・ Stolen document
・ Re:Hello
・ Mail Delivery (failure sender address)
・ Private document
・ Re:Notify
・ Re:document
・ Re:Extended Mail System
・ Re:Proctected Mail System
・ Re:Question
・ Private document
・ Postcard

本文：
・ I found this document about you.
・ I have attached it to this mail.
・ Waiting for authentification.
・ Please confirm!
・ Protected message is available
・ Do not visit this illegal websites!
・ Here is my phone number.
・ I cannot believe that.
・ Your file is attached.
・ For further details see that attachment.
・ Congratulations!, your best friend.
・ Greetings from france, your friend.
・ If the message will not displayed automatically, follow the link to read the delivered message.
　 Received message is available at:（偽のWWWリンク）
-------------------------------------------------------------

　ワームは発症すると，ドライブC～Zのフォルダ内に自身の複製を作成する。米Microsoftが2001年に発表した「MS01-020」セキュリティ・ホールを悪用し，「Internet Explorer 5.01」または「同5.5（Service Pack 2未インストール）」を動作させているシステム上で電子メールの添付ファイルを自動実行させようとする。なお，同セキュリティ・ホールに関しては，Microsoft社が検出発表当時にパッチを配布済みである。