「MSN Messenger」経由で増殖するワーム，相次いで出現

早坂利之

2005.03.09

　米Microsoftのインスタント・メッセージング（IM）サービス「MSN Messenger」を通じて繁殖するワームが相次いで出現している。米Symantecが米国時間3月7日に，「Kelvir」ワームの亜種と新種の「Serflog」ワームに関するセキュリティ情報を公開した。

　Symantec社が同日検出したワームは「W32.Kelvir.B」「W32.Kelvir.C」「W32.Kelvir.D」および「W32.Serflog.A」「W32.Serflog.B」。

　Kelvirワームは，PIFファイルへのリンクが付いたメッセージのかたちで届く。リンクをクリックすると，「Spybot」ワームの亜種のダウンロードと実行を試みる。Spybotワームは発症すると，コンピュータのバックドアを開こうとする。またKelvirは，感染したコンピュータに格納されているコンタクト情報（連絡先アドレス）すべてに同じメッセージを送りつける。

・Kelvir.B：Windows MessengerとMSN Messengerを通じて増殖する。メッセージ本文は「lol! see it! u'll like it」。「omg.pif」という名称のファイルへのリンクが含まれる。

・Kelvir.C：MSN Messengerを通じて増殖する。メッセージ本文は「hot pic!!」。「parishilton.pif」いう名称のファイルへのリンクが含まれる。

・Kelvir.D：MSN Messengerを通じて増殖する。メッセージ本文は「haha look at us」。「youandme.pif」いう名称のファイルへのリンクが含まれる。

　Serflog.A（別名「Sumom」）は，空白のメッセージで届けられる。MSN Messengのほか，ファイル交換ネットワーク経由でも繁殖を広げる。発症すると，主要セキュリティ企業のサイトへのアクセスを妨害し，アンチウイルス・プログラムを無効にする。また，感染したコンピュータのMSN Messengerに登録されている連絡先すべてにメッセージを送る。メッセージには，自身の複製をしのばせたPIFファイルへのリンクが付いている。PIFファイルには，主に以下の名称が使われる。

--Crazy frog gets killed by train!.pif
--Annoying crazy frog getting killed.pif
--See my lesbian friends.pif
--My new photo!.pif
--Me on holiday!.pif
--The Cat And The Fan piccy.pif
--How a Blonde Eats a Banana...pif
--Mona Lisa Wants Her Smile Back.pif
--Topless in Mini Skirt! lol.pif
--Fat Elvis! lol.pif
--Jennifer Lopez.scr

　またSerflog.Aは，P2Pアプリケーションが利用するフォルダ内に自身の複製を作成する。Serflog.Bもほぼ同様の行動をとる。

　米メディアの報道（InfoWorld）によると，IMワームには，MSN Messengerのほかに米America Onlineの「AOL Instant Messenger（AIM）」を狙った「Stang」「Aimdes」などがある。「IMユーザーはコンピュータのディスプレイにポップアップ表示された着信メッセージをすぐにクリックする傾向にあり，このためウイルス作成者はIMについて，ウイルスをばらまくのに便利な媒体として認識している」（英Sophosの上級セキュリティ・アナリスト，Gregg Mastoras氏）