米McAfeeが新たなワーム「Sober.J」を警告，主に欧州で感染

早坂利之

2004.11.22

　米McAfeeは，大量の電子メールを送信する「Sober」ワームの新たな亜種「W32/Sober.j@MM（Sober.J）」について危険度を「中」に引き上げた。McAfee社が米国時間11月19日に発表したもの。感染報告のほとんどが欧州から届いており，その大半はドイツからだという。

　Sober.Jは，UPXで圧縮したSMTPエンジンを内蔵する。感染したコンピュータから電子メール・アドレスを抽出し，自身の複製を送りつける。受信したユーザーが添付ファイルを実行すると，ワームが発症し，「WinZip_Data_Module is missing ~Error:{2A0DCCF6}」という偽のエラー・メッセージを表示する。また，ワームはシステム・フォルダ内に自身の複製ファイルを2つ作成する。これらは同時に削除しなければ完全に除去することはできないという。

　ちなみに米メディアの報道（TechWeb）によると，他のアンチウイルス・ベンダーは同ワームを「Sober.I」としている。電子メールは英語あるいはドイツ語で記述されている。ドイツ語の電子メールは，ドイツ（de），オーストリア（at），スイス（ch），リヒテンシュタイン（le）のドメイン名を含む電子メール・アドレスにのみ送付され，ヌード写真を添付しているように見せかけている。英語版の電子メールは，「Delivery failure notice」や「hey dude!」などの件名で届く。

　添付ファイル名は不定で，ランダムに変化する。ワームが「Windows Directory」システム・フォルダに作成するファイルの名称は，以下のいずれかである。

・clonzips.ssc
・clsobern.isc
・cvqaikxt.apk
・dgssxy.yoi
・nonzipsr.noz
・Odin-Anon.Ger
・sb2run.di
・sysmms32.lla
・winexerun.dal
・winmprot.dal
・winroot64.dal
・winsend32.dal
・zippedsr.piz

　また，ワームはコンピュータが再起動するたびに自身を実行するよう，以下のレジストリ・キーを追加する。

・HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Run
"hostexpoler"
Data: C: WINNT System32 datadiscwin.exe
・HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Run
"wincryptx"
Data: C: WINNT System32 cryptservice.exe %srun%
・HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows CurrentVersion Run
"disccryptx"
Data: C: WINNT System32 cryptservice.exe %srun%
・HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows CurrentVersion Run
"runsmss32"
Data: C: WINNT System32 datadiscwin.exe