最終更新日
|  
|
ウィルスKlez、Badtrans.B騒動記
1 はじめに−Klez、Badtrans.Bの猛威
2001年11月22日の頃から、添付ファイルがwhatever.exeというAlizといわれるもの、そのうち、拡張子が二重(例えば、Pics.DOC.scr)のファイルで、Badtrans.Bといわれるメールが私にも多数入るようになり、2002年4月になってもまだやってくるが、ようやく収まりかけたころ、今度は発信者を偽装して感染者が特定できないようにするという、より悪質なKlezが蔓延しています。10月には、Bugbearなる類似のウィルスが危険度高(トレンドマイクロ社、他はまちまち)とされましたが、私の場合は、まだきていないように思いますが、Klezがひどい。
2 Klezについて は、実際にKlezを受け取り、感染者を推定して警告した例やトレンドマイクロ社のホームページなどからの情報でまとめ、感染者が特定できる場合もありますが、完全ではなく、大変やっかいで被害を大きくしています。とうとう、2002年10月頃から、私になりすましたKlezウィルスメールが出回り、私も偽装される という、最も心配していた事態になりました。
3 ウィルス偽情報といたずら は、ウィルス偽情報や手のこんだいたずらメールも受取ることになったので、それをまとめます。世の中にはご苦労さんとしか、いいようのない人もいるものですね。
4 Badtrans.Bの特徴と対策 。ウィルス被害が広範囲に個人に広まったのは、Badtrans.Bがはじめてでしょう。私もずいぶんの数のウィルス・メールを受け取っています。
5 「駆除ツールを実行してみて、簡単です」 。実際にBadtrans.Bに感染してしまった人がまずやることは、トレンドマイクロなどがホームページ上で無償提供している駆除ツールをダウンロードし、実行することでしょう。私も試しましたが、感染しているかどうかのチェックとしても、有効でしょう。
6「プレビュ−でだめって、何をプレビュ−というの？」 。Badtrans.Bは、対策を講じていないパソコンでは、Outlook Expressを使っていると、プレビュ−(メール本文を見る)だけで、添付ファイルを開かなくとも、感染してしまうという恐ろしいことが起こっています。だから、被害がひろがったのですが、そのからくりや対策です。なお、Klezも同じ手を使っていますが、Badtrans.Bの学習効果もあって、蔓延を少なくしているようです。
7 Niftermとウィルスバスター2002 は、テキスト文しか見ないパソコン通信用のメーラでは、ウィルスバスター2002が全く反応しなかったことを記します。
8 ウィルス・セキュリティ関係URL は、今後のため、主要なウィルスチェッカーとIE,OSのセキュリティ関係のURLをまとめました。トレンドマイクロのウィルスバスター2002とノートンのインターネット・セキュリティ2002とを使っているので、その使用感も書いてみます｡
また、マイクロソフトでは、IE、OSの修正プログラムを次々と出しています。スタート−Windows Updateから対応できるので、きちんと対応しておくことが必要でしょう。
なお、このページは、下記のように、遅れ気味ながら、そのときどきの状況に応じて、追記してきています。書き方にバラツキがあるのはそのためで、ご容赦ください。4版間ては、4章以降のBadtrans.Bを中心にして、全体的な話題です。
5，6版は、Klez.E,Hといたずらメールについてで、2章,3章です。7版は、自分のメールアドレスが偽装されたことについて詳しく報告したもので、2-6 私も偽装される に追記したものです。
(2001年12月2日、第１版。5日、2版。13日 3版。2002年3月12日 4版。2002年4月28日 5版。2002年5月19日 第6版。 2003年1月5日 第7版。)
2-1 Klezの特徴−発信者が感染者ではない−
ウィルスKlez、仲間二人が自分自身の発信となっているメールを何通も受取る羽目になったと嘆いていたのが4月25日、その後も何通も来るということでしたが、私自身も4月27日になって、心あたりのない発信者3人から、Return-Pathが同じ というウィルスメールを続けて3通も受取ることになりました。
ノートンののホームページ、W32.Klez.H@mm にあるメールの件名と添付ファイルからみて、Klez.e,Klez.gらしいですが、私の場合は、Niftermを使っているせいか、ヒンパンに更新ファイルがあるよといってきて、4/24更新の4/28時点での最新定義ファイルを入れているはずのノートンもチェックしてくれません。
仲間が受けたメールは発信者の大半が本人 とのことでしたが、メールのやりとりをしている人の中で、Klez.eないしKlez.gに感染したパソコンが、かってにある人のメールアドレスを取得して、発信人になりすまして、ウィルスメールを発信しているようにもみえます。
トレンドマイクロは、WORM_KLEZ対策Web と、Badtrans.Bのときと同様の特別ページを作っており、そこにも書かれていますが、IPAの「W32/Klez」ウイルスに関する追加情報 には、もっとはっときりと「Klezウイルスの送信アドレスには、実際に感染したユーザのアドレスが入ることはほとんどありません 」とあります。そうだとしたら、ほんとうに悪質なウィルスです。
「発信者が感染者ではない」という意味は、マカフィーのホームページ、McAfee 図解：klez.eおよびklez.hとはどんなウイルスなのか？ の絵がわかりやすいです。
IPAが5月31日に、W32/Klez に関する FAQ を出しています。これも分かりやすいでしょう。同時に事態がいかに深刻かを示してもいます。
5/20のZdnetに、Klezが暴いた自動応答システムの落とし穴 というちょっと面白い記事を見つけました。以下は抜粋ですが、プロバイダも有料でこういうサービスをしているし、これが本当なら、とんでもないことですね。「発信者が感染者ではない」と分かった時点で、こう
いう無用どころか、すごく有害な働きをするシステムをとめるべきではなかったのかな？
企業の電子メールゲートウェイを守るアンチウイルスソフトが、本当は感染して
いないユーザーに大量の警告メールを返し、トラフィックが増加するという事態ま
で招いている。
あなたがKlezウイルスをばらまいた犯人として糾弾されるのも、時間の問題かも
しれない。
混乱を生む自動応答システム
Klez.Hは感染メールの送信元を偽ることができるため、本当にウイルスを送っ
た感染者を突き止めるのはほとんど不可能だ。
システム管理者が、電子メールゲートウェイサーバのウイルス警告機能を停止す
るまでは、ひたすら混乱が続くだろう。
Aさんが発信者に偽装されて、こんなメールが大量にくると、いろいろ対策を講じたうえで、「おれは感染していないぞ!」と憤慨はしても、それ以上の手立ては必要なしといえる人はまだいいとして、ウィルスKlezの働きがよく分かっていないと、真の感染者が手当てをしてくれない限り、駆除ツールを使っても、ウィルススキャンをやってもだめ、ハードディスクをフォーマットしてもだめ、無関係なはずの警告メールが来続けます。どうします？ どこかで、気がつけば未だいいですが、さもなければ、加害者意識が気になって、メールをやめるでしょう。そういう重症の被害者はおられないでしょうか？ 被害は「jdbgmgr.exeはウィルス」という偽情報どころではないような気もします。
駆除会社もアンチウィルスのガードをかけたメールシステム担当者も、必死で感染者を特定できる方法を見出す努力をすべきと思いますが、断定できないとしても、可能性の高い方法として、次節を紹介します。ここに書いたところに戻す方が、ほとんど違うところに何の断りもない変なメッセージを出すよりよほどましだと思いますが。
2-2 感染者を特定するにはどうするのか？
4/27にここまで書いていたら、stage2のスタッフの方から、4/27,4/28朝とメールがあり、「Klezウィルスを12通受取った方からメールがあったので転送する」という事態になりました。
IPAにもトレンドマイクロなどのホームページにも書かれてはいないのですが、転送いただいたメールによると、「Return-Pathにあるのが真の感染者ではないか」 ということです。電話で確認したところ、「ロシアのウィルス研究者の言葉が業界ニュースになっていた、それをヒントに受取った15通の共通点は何かを見ての推測」とのことでした。
私は早速、受信したReturn-Pathが同じの3通を見直して、そのアドレスの方はよく知っているし、パソコンにも詳しい人だったので、電話したところ、「ウィルスバスター2002を入れているのに、かいくぐられたらしい、他からも感染していないかと言われており、調べているところ。危険だからメール返信は遠慮させてもらっていた」とのことでした。
前述したように、私のノートンもメーラがNiftermのせいか、Klezウィルスは目下はノーチェックなので、添付ファイルをフロッピィに移してチェックしようとしたら、ノートンが反応し、はじめてウィルスであることを教えてくれます。
業界ニュースCNetの4/18 インターネットに広がる新種の『Klez』ワーム には、最初「ウイルス駆除ソフトウェアを回避する能力を備えており、広範囲に感染する結果になった」とありました。こういう例の被害者なのでしょう。
Return-Pathにあるのが、真の感染者という可能性が高いなら、感染者が特定でき、それなら、まだ、対策いただけるてがかりになるかと思います。ただ、私の使っているメーラ、Niftermでは、Return-PathとFromが違っている場合は、はっきり、本文冒頭に出るのですが、Outlook Express6.0では、メールのタイトルを右クリックして出るメニューから、「プロパティ」-「詳細」としても、出なかったことと、ウィルスチェッカーによっては、ただちに削除してしまって分からないという問題点があるかもしれません。
お恥ずかしいことながら、Return-Pathとは一体、なにもの？ということで、Googleで検索して、メールヘッダの見方 に行きつきました。Return-Pathとは、メールがエラーになったときに返るところ と明快です。そこには、メールの例もあり、Outlook Express5.0のようですが、Return-Pathは、メールヘッダの冒頭にあります。Outlook Express5.5にもあると仲間から聞きました。6.0では表示しなくしてしまっのかな？
また、インターネットメールの注意点 には、メールを受取った最後のサーバがenvelope-fromの情報を、Return-Path:と書き写すとのことです。
私は、メーラはこの種のものには比較的安全なNiftermを使い、メインマシンにはノートン、ノートパソコンにはウィルスバスター2002をいれて、忠実に更新しています。しかし、私とメールのやりとりをしたことのある人のどなたかがウィルスにやられ、不運にも私のアドレスが選ばれて、アドレス帳にある人達に、私名義のウィルスが出てしまうこともある、しかも、仲間の情報でも、私自身も同じ感染者からのメールを繰り返し受信しています。自分自身が注意していても、手のうちようもありません。恐ろしい。
特に今回のウィルスの何たるかをしっかり認識していない人からの無用の誤解も出そうだし、発信人が感染者ではないとなると、感染した人をつきとめて対策を講ずるよう、勧めるのも大変。いよいよ、メールをやる人全員が、しっかり認識し、対策もたてていただかないと、やってられないご時世になったようです。
前述したW32/Klez に関する FAQ のQ3では、感染者特定に関しては、特定できないと慎重ですが、公けの機関としてはやむをえないでしょう。しかし、私も、同じReturn-Pathのアドレスの人から、何通もウィルスが来たら、慎重な書き方で注意メールを出すことでしょう。
以上を書いたのは、2000/4時点。その後、9月と10月に、Return-Pathが同じメールを3通受け取った時点で、警告メールを出しました。一人は知人で対策を講じてくれて止まりました。もう一人は見ず知らずの方で、無視されています。そして、2-6 私も偽装される に詳述するように、発信者もReturn-Pathも私という事態になり、私が警告メールをうけとりかねません。Return-Pathが空白というのもあり、ウィルスも進化し、すべてを偽装するようにもなったようで、せっかくのヒントも無力になりそうです。
2-3 ウィルスメールをみただけで感染する問題
このKlezも、大流行したBadtrans.B同様、IE5.5以前のものを使っていれば、Outlook Expressのメールをみただけで感染するということもあって、蔓延させているようです。(詳しくは、6「プレビュ−でだめって、何をプレビュ−というの？」 参照)。
より具体的に書くと、
1 ウィルスつきメールにある添付ファイルがウィルス活動をするプログラムで
あり、添付ファイルを開くと、そのプログラムが実行され、Wink*.exeを
C:\WinNT\System32にコピーする(*はランダムな文字列)。
添付ファイルを開いてといけないというのはそのため。
2 しかし、最近の悪質ウィルスは、IEの欠陥を使って、IEに自動的に添付ファイ
ルを開かせてしまうものがあるから、Outlook Expressなどで、メールを見ただ
けでも感染することがある。なぜ、メールなのに、IEなの？という疑問は、メー
ルの中には、html形式になっているため、IEが使われるから。IEのこの欠陥は、
IE5.5SP2または、IE6.0では解決しているとのこと。
この「メール本文を見ただけで感染する」という大問題を回避する方法は、今回もIE6.0にしておくだけでいいようではありますが、今後のことも考えると、ひんぱんに出ているマイクロソフトの修正プログラム(パッチ)をあてておくべきでしょう。5/16時点での最新は、IE6.0 更新バージョンがq321234です(8 ウィルス・セキュリティ関係URL 参照)。
2-4 感染してしまったら？
「WORM_KLEZ」感染マシンの修復 に、Klezの駆除ツールがありました。やってみたら、私は大丈夫のようでした。
前述のW32.Klez.H@mm のテクニカルノートによると、既に述べたように、C:\WinNT\System32\Wink*.exe が、ウィルスによって植え付けられます。これがあるかどうかをチェックします。
パソコンを起動するたびに、Wink*.exeが活動するように、レジストリを書きかえるので、それがもとに戻っているかどうかを確認します。上記のテクニカルノートなどに記述があります。
ウィルスバスター2002やノートンのインターネット・セキュリティ2002などのウィルス駆除ソフトを最新のパターンファイルないし定義ファイルに更新してから、全ファイルのウィルススキャンをすべきでしょう。ただ、ウィルスが駆除ソフトを無効化している場合もあるようですから、危ないようなら、再インストールも必要かもしれません。
2-5 Klez.Eは奇数月の6日に活動
IPAの「W32/Klez」ウイルスに関する追加情報 をご覧下さい。大きく、5/6注意とあります。
Klez.Eという今、蔓延しているウィルスは、奇数月の6日に活動するように仕組まれているそうです。上記の全てを実施して、ウィルス駆除ソフトを入れておられるなら、全ファイルのウィルススキャンを実行し、Klez.Eに感染していないことう確認してから、パソコンの電源をいれる必要があるかと思います。
もし、確信が持てない場合、6日はパソコンの電源を入れないなら、ウィルスの活動はないそうです。ただし、個々のパソコンのクロックの時間に依存するのでしょうから、多少、調整していないと、結構、狂っているものですから、5日深夜は早めにやめ、再開も７日になってからがいいでしょう。世界標準の時間なら、7日の9時までだめということになりますが、どこにもそんな注意はないから、それはなしでしょうね？
なお、Klez.Hにはそういう活動はしないとのことです。どちらも、無差別に、しかも、発信者を偽装して、ウィルスメールをどらまく他、感染者のパソコンから、適当にファイルを選んでメールに添付して、ばらまいてしまうそうです。場合によっては、重要ファイルが持ち出される危険があると。
いろいろと露見してきた永田町のうさんくささといい、悪知恵は働きいやなことをやる連中が、どこにもいるのですね。
(以上 主として、2002年4月28日 5版。)
2-6 私も偽装される!!
1 経緯
ついに私もKlezに偽装され、最も心配していた事態にたちいたりました。10/19夕方、下記のReturned mailがありました。(Niftermというメールソフトの情報)- Unsent message follows 以下が、もとのメールですが、FromもReturn-Pathも私、ABC12345@nifty.ne.jpさんに、あやしげな英文の件名で添付ファイルつきのメールを出し、それが相手のプロバイダの防衛網にかかり、添付ファイルは削除され、発信人とされる私にリターンメールがきました。ABC12345@nifty.ne.jp と、ありそななさそな、あて先アドレスもウィルスがでたらめに作り出したものでしょう。もちろん、私は出した覚えがありません。
----------------------------------------------------------------------
問題のReturned mail: Unknown user
Date: Sat, 19 Oct 2002 17:52:10 +0900
From: Postmaster@mail.nifty.ne.jp
To: mstak@nifty.com
----- Unsent reason follows -----
ABC12345@nifty.ne.jp... Unknown user
----- Unsent message follows -----
Return-Path: mstak@nifty.com
Date: Sat, 19 Oct 2002 17:49:38 +0900
From: mstak
To: ABC12345@nifty.ne.jp
Subject: Have a funny Allhallowmas
Received: from mail501.nifty.com (mail501.nifty.com [202.248.37.209])
by ums513.nifty.ne.jp (8.9.3+3.2W/3.7W000811) with ESMTP id RAA23461
for ; Sat, 19 Oct 2002 17:50:13 +0900 (JST)
Received: from Rlqberwp
by mail501.nifty.com (8.12.6/3.7W-07/15/02) with SMTP id g9J8ncdS00159
8
for ; Sat, 19 Oct 2002 17:49:38 +0900
Message-Id: <200210190849.g9J8ncdS001598@mail501.nifty.com>
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary=WrII8uJ3H9mE7K6h
----- Message body suppressed -----
2 ウィルス感染有無のチェック
変な添付ファイルは開いた覚えがないし、仮にそうしても、ノートンがチェックするはず、まさか、自分が感染しているのではあるまいと思いつつ、最新情報で更新ずみのノートンで、全ファイルのウィルスチェックをして異常なし。
時期的に、Bugbearに偽装されたかと考え、system32の中に痕跡を残すというファイルを見たのですが、Bugbearはランダム4文字というだけで、弱りますね。ファイルの日付を全部見たのですが、それらしいのはなしです。*.exeで検索しても、タクサンあって、日付まではでないから、確認できず。この点でも、Klezより悪質。Klezは、Winkで始まるというので、それはないことを確認しています。
TrendmicroのHPに行き、駆除ツールで確めました。この結果の一部を出しますが、感染はしていませんでした。問題は、私のアドレスをアドレス帳に持つ誰が真の感染者かということですが、てががりなし、皆様方に私から出したかのようなウィルスメールが行く可能性があります。英文タイトルのメールなど出さないし、写真以外の添付ファイルはつけないから、そんなメールがいったら、高橋から来たメールなどと思わないで、即時、削除ください。ウィルスチェックソフトをいれておられる方は、添付ファイルは削除され、安全な状態で、私が送ったかのような情報を受取られるでしょう。わかっている範囲で、現に一人おられました(後述)。
駆除ツール：「WORM_OPASOFT」「WORM_BUGBEAR.A」 というのをやってみました。以前も、人にやり方を聞かれて、BadtransもKlezもやったことがあり、そのときは、あっというまに、実行して、感染なしという結果が出たので、そのねつもりでいたのですか、ファイルを逐一、調べはじめました。えっと思わず、やられたのかと思ったのですが、3時間後、ログ情報は、感染なしと出ました。
3 トレンドマイクロの駆除ツール実行リスト一部結果
「WORM_OPASOFT」「WORM_BUGBEAR.A」にて確認
TSC Version 3.0(Build 1023)
Windows 2000(Build 2195: Service Pack 3)
Start time : Tue Oct 22 22:09:55 2002
Load pattern file
"E:\Documents and Settings\Administrator\デスクトップ\TrendMicro\tsc.ptn" (version 23) [success]
PE_ELKERN.A[virus not found]
PE_ELKERN.B[virus not found]
PE_ELKERN.C[virus not found]
WORM_KLEZ[virus not found]
WORM_KLEZ.A[virus not found]
WORM_KLEZ.B[virus not found]
WORM_KLEZ.C[virus not found]
WORM_KLEZ.D[virus not found]
WORM_KLEZ.E[virus not found]
WORM_KLEZ.F[virus not found]
WORM_KLEZ.G[virus not found]
WORM_KLEZ.H[virus not found]
WORM_KLEZ.I[virus not found]
WORM_KLEZ.J[virus not found]
PE_ELKERN.D[virus not found]
.......(途中略).......
WORM_BUGBEAR.A[virus not found]
WORM_OPASOFT.A[virus not found]
.......(途中略).......
WORM_BADTRANS.B[virus not found]
.......(途中略).......
WORM_SIRCAM.B[virus not found]
.......(途中略).......
TROJ_BACKDOOR-AC[virus not found]
.......(途中略).......
VBS_LOVELETTER[virus not found]
VBS_LOVELETTR.BA[virus not found]
VBS_LOVELETTR.BD[virus not found]
VBS_LOVELETTR.BF[virus not found]
VBS_LOVELETTR.BH[virus not found]
.......(途中略).......
WORM_SIRCAM.A[virus not found]
WORM_MTX.A[virus not found]
WORM_PROLIN.A[virus not found]
WORM_HYBRIS.A[virus not found]
WORM_ZOHER[virus not found]
WORM_MYPARTY.A[virus not found]
WORM_BLEBLA.A[virus not found]
TROJ_CODERED.C[virus not found]
PE_NIMDA.A[virus not found]
PE_NIMDA.B[virus not found]
PE_NIMDA.C[virus not found]
PE_NIMDA.D[virus not found]
PE_NIMDA.E[virus not found]
BKDR_IRCSDBOT.G[virus not found]
Complete time : Tue Oct 22 22:11:08 2002
Execute pattern count(304), Virus clean count(0), Clean failed count(0)
4 トレンドマイクロの駆除ツール実行結果
駆除ツール：「WORM_OPASOFT」「WORM_BUGBEAR.A」 上のページに、ログの見方が説明されていて、Cドライブにvbというフォルダが作られ、その中に、DETECT.LOGがあれば感染ということですが、これはありませんでした。上記が、20021022.logの一部を示します。数百行ありそうで、有名、無名のウィルス名がずらりとあって、いずれも[virus not found]です。安心しました。有名なもののみ、ピックアップしました。10/22 自作機でWin2000のときに、実行したものですが、メインマシーンをFMVc20SB/Mに変え、XPにしたので、2003/1/3、再度実行、結果は同じでした。 ただ、1/3のときは、これをやっているときに、メールもインターネットの他のページを見ているわけでもないのに、常設しているノートンの警告がでて、C\Documents&Setting\LocalSetting\Temp\VOBG4a02612にKlezを検出したというのです。しばらくすると、同じフォルダのVOBG4Ca00252に検出したと。どちらも、そんな名前のファイルはありません。 トレンドマイクロの駆除ツール実行中で、一時的に作られたファイルをノートンが誤認したとみたのですが、どうでしょうか?
5 その後の偽装メール
10/19以来、ときおり、偽装メールの宛て先でたらめのための返信や相手先のプロバイダのウィルスチェック網にかかって、発信者とみなされて私あてに来るメールがいくつかあります。 そのうちの一人は、はじめてのウィルスメールが私からと、メールアドレスをシニアステージの掲示板にも書かれたので、「感染者は私ではないと思う」と弁解におおわらは。明らかに、偽装メールが出回っているのは、いい気持ちがしないですが、真の感染者がまったくわからないから、どうしようもありません。 なお、これらのReturn-Psthは、私だったり、空白だったりしています。
ほんとうに、私は感染していないのか、なんども、トレンドマイクロなどのオンライン駆除ツールをかけるなど、神経と余計な時間、労力を使わされるのはかなわないですね。
中に、下記のようなとんでもないメール(下記全文引用部分)に気づき、皮肉まじりに横浜市市民局広聴課あてにメールを返しました。ウィルスか、またはほんとうに私を騙らった人がいるのか、私が出したというメールを見たいものです。
------------------------------------------------------------------
TO:INET:kouchou2@city.yokohama.jp
SUB:RE:市政提案箱へ戴いたメールについて
本日、気がついたのですが、貴課より下記メールを受け取っていました。
しかし、私は横浜市民でもないし、市政に提案するとか、マスコミに投書する
とかはしたことがありません。私をかたらったウィルスメールがあるようです
が、ひょっとしたら、そのひとつでしょうか? 真の発信者を知りたいところで
す。
下記メールは機械的に出されたものでしょうが、お調べいただければ幸いです。
>Date: Tue, 10 Dec 2002 15:37:42 +0900 (JST)
>From: CITY OF YOKOHAMA
>To: mstak@nifty.com
>市政提案箱のご利用ありがとうございました。あなたからの送信を確認しました。
>横浜市市民局広聴課
------------------------------------------------------------------
(以上 2-6章は 2003年1月5日 第7版)
1 「jdbgmgr.exeはウィルス」という偽情報
5/15に、めったにメールをやりとりしない、しかし、親しい知人から、アドレス帳にある人全てにあてて、下記の、ある日本名の企業発信(住所も電話も明記)のメールを添付して、「迷惑かけて悪い」とのメールが来ました。おおもとのメーる、ほぼ全文を掲載します(これは偽情報ですから、実行しないように )。
今日、知人から連絡があり、アドレスブックがウィルスに感染したので、私も
調べるように言われました。このウィルスは電子メールを送付したかどうかにか
かわらず、アドレスブックに登録されているすべてのアドレスに感染するそうです。
ウィルスは jdbgmgr.exeという名前で、14日間静かにしていてシステムを破壊し
ます。ノートンやMCAfeeのワクチンソフトでは検出できません。
メッセンジャーを通して自動的にアドレスブックにあるアドレスに送付されます。
私も下記の要領で調べましたところ、感染していましたので、削除しました。
恐れ入りますが、下記の要領でプログラムの存在を発見し、削除し、アドレスブ
ックに記載されている人すべてに警告してください。
１． 画面下のスタートをクリックし、
プログラムやファイルを検索するオプションをクリック。
２． 検索するファイル名として、 jdbgmgr.exe と書く。
３． ドライブCを検索すること。
４． 「検索」をクリック。
５． ウィルスは、jdbgmgr.exeのファイル名の頭にテディベアの
アイコンがついている。ぜったいに開けないように！
６． 右クリックして削除。ゴミ箱に入る。
７． ゴミ箱をクリックして、そこでも削除。
ウィルスが発見された場合は、かならず、アドレスブックに記載されている人
すべてに連絡してください。
結論からいうと、「jdbgmgr.exeはウィルス」というのは偽情報 で、jdbgmgr.exeは、Windowsにもとからある、Java関連プログラムです。
3台あるパソコンの全てにjdbgmgr.exeが、1999/12/17などとかかなり古い日付けで、15KBのものがあり、直感的に偽情報と見ましたが、詳しい方にメールしたところ、下記の情報を教わりました。
http://www.zdnet.co.jp/broadband/rbb/0205/09/rbb_0509_10.html
http://www.microsoft.com/japan/technet/treeview/default.asp?url=/JAPAN
/technet/security/virus/false/jdbgmgr.asp
zdnetやマイクロソフトも既に情報を流している偽情報でした(見逃していました)。
うっかりすると、その気になりかねない文面です。だまされて、jdbgmgr.exeを削除してしまっても、Win2000,XPなら、再起動で復元、Win98,Meには、上記マイクロソフトのページに、プログラムのダウンロード元が表示されています。実害もそんなにはなさそう、だし、もとは英文、わざわざ翻訳してメールするなんて、ご苦労さんとしかいいようのない人がいるものですね。
2 Klezらしく装ったいたずら
A WinXP Patchとか、Hello,congratulations、あるいはA very good toolとか
A new gameとか、件名はいずれも、ウィルスKlezと思わせるようなもので、拡張子なしの容量の小さい添付ファイルのメールがいくつか入って来ました。ウィルスKlezは100メKBくらいあるのに対して、これらは18KB。
差出人はおそらく、適当なメールアドレスにしているようで、@以下はありそうにないドメイン名になっています。本文はいずれも英文で下記のようなもの。
-------- Virus Warning Message (on the network)----------
Found virus WORM_KLEZ.H in file demo.exe
The file is deleted.
---------Virus Warning Message (on the network)-----------
demo.exe is removed from here because it contains a virus.
------------------------------------------------------------
私も、この添付ファイルファイルをフロッピィに移して、ノートンでスキャンしたのですが、ウィルスではなかった。適当なhtmlの羅列だったりします。下手な英文までつけて、こんな手のこんだいたずらをするのもいるのですね。まったく、ご苦労さん。 (以上 3章は 2002年5月19日 第6版)
1 Badtrans.Bの特徴
2001年9月にも、Nimdaというウィルスが猛威をふるうとあり、私もNimda対策を講じていましたが、やられたのは主に企業。私自身が、ウィルスつきメールを直接受け取ったのは1回だけ、周囲にも、そんな話はなかったですから、ウィルス騒ぎはどこか人ごと、海外とか企業では大変なんだなというくらいの認識でした。
ウィルス被害が広範囲に個人に広まったのは、Badtrans.Bがはじめてでしょう。私もずいぶんの数のウィルス・メールを受け取っています。パソコン通信の関係者の中には、700通なんて人もおられるようです。
親戚からも個人的なメール相手からも来たし、同期の仲間からは「やられた。ヘルプを」求められました。パソコン通信Niftyでもあちこちで話題になっています。不幸にして変なメールを受けとったばかりに、対応が不十分だったとはいえ、いつのまにか加害者となり、本人もあずかり知らぬ間にウィルスメールをまきちらすこととなって、山のようなクレーム電話を受けることになったとの報告も多々。まことに、たちの悪いウィルスです。
それなのに、マスコミがとりあげず不思議なくらいでしたが、2001年12月4日朝のNHKニュースがかなり大きくとりあげていました。警察関係など、公共機関のホームページが閉鎖されたなどとも言っていましたが、どうも、個人のこれだけ広範な被害に対するマスコミの認識は甘かったようです。
今回のウィルスは、幸いにも2001年9月頃、大騒ぎになった Nimdaと同じ、Internet Exploreの5.5SP2以前のものにある欠陥をついたもの とのことで、Nimdaのとき、警告されていたIE5.5SP2またはIE6.0に(どちらもそのセキュリティ・ホールを塞ぐ改善がなされている)、バージョンアップしていた人達や、私も使っているテキスト文しか見ないNiftermのようなパソコン通信時代からのメールソフトを使っていた人達は、添付ファイルを開きさえしなければ無事だったようです。また、ウィルスソフトを入れ、日々の更新も怠らなかった人も大丈夫だったでしょう。
そうでなければ、Outlook Expressなどでは、デフォルト設定になっているメールをプレビューしただけでやられるというのだから大変です。メールをしている人の1割か2割の人がやられたようにみえます。2002年2月末になっても、まだぽつぽつとやってくるのですから。そういうわけで、今回は、はじめて多くの方がウィルスの洗礼を浴び、ウィルス警告を無視してはいけないという教訓を残したことでしょう。
IE5.5SP2またはIE6.0にしていなかった人にとっては、今回のウィルスは真に厄介、知らぬ間に感染、知らぬまに人にもうつし、多くの人がやられました。こうなると、流感みたいなもので、誰にうつされたとか、誰にうつしたとかは問題にならないでしょう。企業なら、どうして、2月前の警告を無視したのかと、追及されてもしかたがないところがあるかと思いますが、個人には問えないでしょう。しかし、対策指針は2章に書くようにはっきりと整理して出され、状況もはっきりしてきた以上、個々の責任で、少しでも対策を講じて、少なくとも、またまた､被害者､加害者にならないようにしないといけないでしょう。
Badtrans.Bは、12月13日には、ピークは超えたと思いますが、その段階で第3版を依然未完のまま出していました。年が変って2月下旬になっても、週に数件は来ていました。 しかし、5月になっても、思い出したようにやってきます。
2 Badtrans.B対策−ウィルス感染と対処に関する情報−
トレンドマイクロ社は、「WORM_BADTRANS.B」〜IEのセキュリティホールを悪用するワーム〜を11月30日に感染警報VAC-2に引き上げていたのですが、12月5日には最高度の警告(VAC-1)を出し、バッドトランスB対策Web が出されました。よく整理され、対策指針が分かりやすい形で、はっきり出たと思います。この中のどれかだけでなく、総合的に対応していく必要があると考えます。そのまとめです。
感染してしまった人および感染はしていないけれども、至急、予防策をたてないといけない人も含めての対策を要約すると、次の4段階(ないし5段階)になるかと思います。上記のトレンドマイクロホームページなどを中心に、私の私見や実際にやったことも含めて書きます。
1 プレビューで感染するのを防ぐため、プレビューではメールを見られないようにする。
「OutlookExpress を起動し、ローカルフォルダを選択して、メニューバーから [表示] - [レイアウト] で 「ウインドウのレイアウトのプロパティ」ダイアログボックスを表示し、「プレビューウィンドウを表示する」のチェックを外して プレビューウィンドウが表示されないようにする。 (メールの件名しか見えなくなる。)
こうしておいて、あやしいメールを削除する。
2 トレンドマイクロ社などが無料で提供している駆除ツールをダウンロードして、即刻、実行(3章に詳しく書いています)。これは実に簡単で時間もかかりません。
(感染していない方も、やられた方がいいと思います。私も数回やっています。状況がはっきりします。)
3 本格的に感染を防ぐため、IEの欠陥が修正されているIE6.0をインストールします。Internet Explorer Home Page からダウンロードできます。ADSLにしている人は数分、そうであければ、2時間くらいかかりますが、雑誌の付録にはまだないので、その時間は覚悟してやること。
インストール後は、ヘルプからバージョン情報を選び、どちらも6.0になっていることを確かめましょう。(モデムやISDNでは、ダウンロードに長時間かかります。しかし、11月末もだめでしたが、12月末発売の「雑誌Internet」などにもCD-ROMにはないですね。 雑誌PCWINには、読者からの問いあわせ、要望多数、しかし、11月5日現在、マイクロソフトから雑誌転載の許可がないとのお断りまでありました。Netscape6.2はついており、この際、切り替えるか、当面､使ってみるのもいいのではないですか？
4 やはり、何かウィルスチェッカーを入れる こと。次の3章のQ&Aの5を参照してください。
なお、このウィルスBadtrans.Bは、侵入したマシン上でのキー入力を記録するハッキングツール的活動も行うとのことで、キー入力したプライバシー情報(パスワード、カードIDなども)も盗まれるわけです。
また、ワームは以下から取得したアドレスに自身のコピーをメールに添付して送信。
a.受信トレイにある未読メールの送信者のアドレス
b.「マイドキュメント」フォルダ及び「temporary Internet files」フォルダ内にある"*.HT*、"*.ASP"（「*」はワイルドカード）というファイル名のファイル内から取得できたメールアドレス
以下のレジストリからデフォルトメーラー情報を取得できた場合も、メール送信に利用します。
場所：\HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts\0000000
値：SMTP Email Address
値：SMTP Server
トレンドマイクロ・ウイルスバスターオンラインスキャン があり、駆除はできないが、ウィルスに侵入されているか否かが分かるようです。
また、「W32/Aliz」ウイルス依然として蔓延!! には、Alizについて同様の情報があります。対処法も詳しく出ていますので、是非。
2章に、トレンドマイクロの無料の駆除ツールがあると書きました。ウィルスBADTRANS.Bにやられたと思われる皆さん、まず、ウィルスメールと思われるものを削除してから、「WORM_BADTRANS.B」修復ツール をやってみてください。パソコン内に侵入したウィルスを実に簡単に駆除するようです。そしてIEやOutlook Expressに対する予防策、ないし、メールソフトを替える、ウィルスチェッカーを購入していただくというのがいいでしょう。
私は情報提供はしたのですが、ウィルスバスター2002の正規版を持っているので、自分では必要なしとやっていませんでした。友人からやってみたけれど、よく分からんと言われ、自分でもやってみたら、これでいいの？というくらい簡単でした。時間も5分とかからないでしょう。ダウンロードする駆除ファイルも51KBと小さいから、56Kbpsの内蔵モデムでもすぐできます。
友人からの質問と答えです。
1 具体的にどうやったら良いのか分からない。
ダウンロードのときに、保存するフォルダを聞いてきますから、あらかじめvirusというような名前のフォルダを作っておいてもよし、面倒なら、My Documentsでもいいでしょう。そこを指定して保存です。
3368Fix_BADT.EXE(これが51KB)という形でダウンロードできます。それをダブルクリックすると、黒い画面が出てきて文字が流れていきます。あれっ、また、ウィルスとびっくりされるかもしれませんが、昔懐かしいMS-DOS形式で実行されるとかで問題ありません。これで問題のウィルスBADTRANS.Bが駆除されたというという次第。あっという間に終わります。
2 カレントフォルダーって何？ そこにFix-badt.logというのがあるらしいが？
3368Fix_BADT.EXEを保存したフォルダがカレントフォルダです。上の例でいうと、virusないしMy Documentsです。Fix-badt.logは後述。
3 できたら, システムの入替え等という所までやらないで,ウイルスバスターで退治したい。kernel32.exe,cp-25389.nls,kdll.dllというウイルスが作ったFILE を消せば良いらしいのですが, どうやって消すのかが, よく分からない。
くだんの削除ツールは、黒い画面で情報を流している間に、あっというまにそれらを消してくれたのです。カレントフォルダにあるFix-badt.logには、ウィルスが作った3つのファイルを削除したよ、レジストリにウィルスが書きこんだ情報も消したよといっています(私の場合は下記。ウィルスが作ったkernel32.exeなどは見当たらなかったという情報でした)。
なお、Fix-badt.logは、 黒い画面に流れていた実行情報から、エッセンスのみを取り出したもののようです。
Fix-badt.logの例(感染していない場合、Windows98系とはちょっと違うところがあるかも)
================================================================
Start : FIX_BADTRANS version 1.00
Windows Platform : Windows 2000
Tool configuration:
Scan Files: Yes
Quiet Mode: Yes
Date and Time: Sat Dec 01 22:51:42 2001
II. Terminating Worm/Virus processes.
*** Infected processes were NOT found. ***
III. Cleaning System Registry.
WORM_BADTRANS.B not found in the SYSTEM REGISTRY
V. Removing drop files.
File "E:\WINNT\System32\kernel32.exe" not found
File "E:\WINNT\System32\kdll.dll" not found
File "E:\WINNT\System32\cp_25389.nls" not found
VI. Inoculating the system.
Creating [KERNEL32.EXE]. Folder created.
System Inoculated
Stop
Date and Time: Sat Dec 01 22:51:48 2001
==============================================
4 カレントフォルダーに 見える筈の Fix-badt.log が分からない。
上記がその全文です。
5. 市販のウイルスチエックソフトウェアを買う必要があるか。\5,000- 位?
今回の問題に限れば、駆除ツールや予防策をたてればいらないでしょうが、今後のこともあるし、買うべきでしょう。およそ8000円+3000円/年(2年目以降の維持費)くらいだったか？
トレンドマイクロのウィルスバスター2002、ノートンのインターネットセキュリティ2002(アンチウィルス)、日本ネットワークアソシエイツのマカフィが大手です(6章参照)。いずれも、ADSLにした時、やや速度が落ちるようですが、それはやむをえないでしょう。
いずれでもいいでしょうが、買ってインストールしたと安心してはいけません。すぐユーザ登録、すぐ最新パターン(定義ファイル)をダウンロードして更新、まずは全ファイル検索 で、再度、チェックし直して、とりあえずは終了でしょう。その後は、週に1度はインターネット上で送ってくる最新パターンに更新(新しいウィルスに対抗するため)です。そうしておかないと、新しいウィルスにはなんの役にもたちません。 お金､時間、手間暇をとらせる、まったく厄介なやつ!! それがウィルス。
ウィルスバスター2002をお持ちの方も、パターン170以上(これは12月はじめのこと、2月末には233)に更新していないと、BADTRANS.Bに対して効果がないとされていますので、自動的に新しいパターンがあると、インターネットに接続したときにいってきたときは、忠実に更新された方がいいでしょう。
こう書くと、難しそうですが、実際にやってみると実に簡単、そんなことでいいの？というくらいです。でも、これで一件落着とみていいのでしょうね。これはいい、口こみも含めて、皆さんにやっていただき、ネットがウィルスにふりまわされるような状態は、早く正常に戻したいですね。
今後の予防策は、2章に書いたとおりですが、ウィルスには狙われる、見栄え優先、いつまたっても、こういうことを繰り返しているマイクロソフトのOutlook Expressはやめた方がいいですね。やられた方は、こりごりではありませんか？
ところで、Web上でいろいろ調べているうちに、ちょっと面白い情報をzdnetで見つけました。拡散に失敗した欠陥ウイルスして、BadTransウイルス，広範な拡散に失敗 というのもあり、欧米では大したことはなかったのか？とよく見ると、2001年4月16日の記事でした。つまり、猛威をふるう半年前に出たものは、大したことがなかったのですが、Nimdaに真似て作り直されたのが゛BadTrans.B、これが猛烈だったというわけです。Bというのはそう言うことだったのですね。
「大量にメールを発信するこのワーム型ウイルスは，Card，Docs，Hamster，Humorなどさまざまな名前で，スクリーンセーバー（.scr）またはWindowsショートカット（.pif）ファイルとして電子メールに添付される。」(これはBadTrans.Bも同じ)
「BadTransウイルスは広範囲に拡散できる要素を備えていたが，あっけなく頓挫してしまった。動作しないバージョンもある。同じウイルスに感染したマシンからのメールにも返信してしまうという欠陥がある。このため，企業内に2つ以上感染したマシンあると，それらのマシンの間でウイルスが添付されたメールが何度もやりとりされるので，ウイルスに感染していることがすぐに分るという。」(BadTrans.Bでは痕跡を残さない)
最初は、大したことがなくとも、失敗に学んだり、他のものを真似て、強力になって出てくることがあるということと、どこかに似ているところも残しているということで興味深い。
大東文化大のアシスタントや学生から、大学のメールサーバ経由のウィルスメールは1通も来ていません。メールサーバにもウィルスチェックをしているのかと、ネット担当者に聞いてみたのですが、「それはしていなけれど、Outlook Expressを使うのをやめたからではないですか？」と涼しい顔でした。今年から、EudraのWindows版です。つい最近までIE5.5SP1のままで、心配だったのですが。
もっとも、Eudraもプレビューが既定になっているようです。IEの機能を使っていないのかな？
今回のウィルス騒ぎがかくもすさまじいことになったのは、Outlook Expressを使っている場合、IE6.0とかIE5.5SP2にしていないで、マイクロソフトのセキュリティ・ホールを放置していた場合、ウィルスつき添付ファイルを開かなくとも、プレビューするだけで、感染するからとされています。しかも、まずいことに、Outlook Expressのデフォルト設定がプレピューすることになっているのです。
ですから、2章に書いたように、Outlook Expressが勝手にプレビューしないように設定し直してから、ウィルスつきメールを削除しなさいというわけです。
普段、Outlook Expressは使わず、いささか古めかしいが、パソコン通信時代からのメーラ、Niftermを使っている私は、ジャンジャン、メール本体を見ていますが、Outlook Expressを使っていないというだけで多分無事だったのでしょう。IE6.0 + 修正プログラムをダウンロードして、対策もできていましたが。
ところで、プレビューって一体何、何をプレビューしたらいけないの？ 白紙状態の本文を見て、どうして感染するの？ という素朴な疑問が起こるのは当然ですね。これが分からないと、対策せよといわれて、ロボットよろしくその通りやって安心という気にはなっても、なんだか、釈然としないですね。コンピュータ操作にはこの手のブラックボックスが多過ぎますが。
私は、その素朴な疑問をパソコン通信、Niftyの2つのフォーラムにぶつけてみました。2001/11/29 夜遅くですが、早速、回答をいただき、いろいろと教わりました。
ウィルス関連フォーラム、FVIRUS #13会議室には、下記のような趣旨で質問しました。
「Badtransでは、変な拡張子だから、関連づけがなされていないのもあるだろうが、
関連づけされているものをプレビューしたらだめというのか、空白ながら、htmlは
ついているようだから、それにJavaScriptでも仕込んであるからいけないというの
か、考えだしたら分からなくなりました。
Niftermでは、メールの中味を見ても、htmlは添付ファイルとしてみているので、
見ているのは空白ながら、テキスト形式のはずだから、まぁ、平気なんだろうと思っ
ていますが、いかがでしょうか？ (IE6.0にもしていることだし)」
半日もたたないうちに、いろいろ教わりました。
要約すると、下記のようになるでしょうか？
1 OUTLOOK Expressの右下がプレビュー ウィンドウで、受信メールを選択しただけ
で、そのメールのテキストがそこに自動的に表示される。プレビューとは、そのこと。
2 このプレビューウィンドウは純粋にメール本文だけでなく、添付されているビット
マップなども表示される様にできている為、Badtransなどはこの穴をかいくぐって添
付ファイルのウィルスが稼働してしまう。
3、Niftermでは、メール本文だけの表示なので、添付ファイルを開かなければ大丈夫。
上記1で感染してしまうというのだから、おそろしくたちが悪いですね。対策を講じていなければ、ほとんど防ぎようがないですね。上記2に刺激され、もう少し勉強と思っていたら、TechNet Online - マイクロソフト セキュリティ情報一覧 に詳しく書かれていました。
タイトルが「不適切な MIME ヘッダーが原因で Internet Explorer が電子メールの添付ファイルを実行する (MS01-020)」とあって、2001/3/30登録、9/26更新とあります。
この中に、IE5.01 SP2 および IE5.5 SP2は、この修正プログラムを含むと記されています(IE6.0はこの後ですが、対応ずみで登場)。
「HTML 形式の電子メールは単に Web ページであるため、Internet Explorer はそれらを再現し、
そしてバイナリの添付ファイルをその MIME 形式に適切な方法で開くことができます。しかし、特
定の MIME 形式の処理に問題があります。攻撃者が実行可能な添付ファイルを含む HTML 形式の電
子メールを作成し、その添付ファイルが Internet Explorer が正しく処理しない MIME 形式であ
ると指定されるように MIME ヘッダー情報を変更した場合、Internet Explorer がその電子メール
を再現する際に、添付ファイルを自動的に起動してしまいます。」
よく寄せられる質問：マイクロソフトセキュリティ情報（MS01-020）のQ&Aが面白い!!
Q：なぜ HTML メールを処理するのに Internet Explorer が使用されるのですか? メールを表示する
のはOutlook や Outlook Express のようなメール プログラムだと思っていました。
A：通常、メールを表示するのはOutlook や Outlook Express のようなメール プログラムです。メー
ル クライアントが電子メールの作成、送信、受信、表示を実行します。しかし、例外もあります。
メールが HTMLメールの場合、“レンダリング” と呼ばれる処理の実行は Internet Explorer に依
存しています。レンダリングというのは Web ページを処理し、表示する処理のことです。HTMLメール
は本質的にメールとして送信されたWeb ページであるため、Internet Explorer によってレンダリン
グされます。この問題は、Internet Explorer が HTMLメールをレンダリングする方法に関係があります。
メールの規格は依然としてテキスト形式、添付ファイルはMIME形式と思っています。だが、マイクロソフトは違って、最初から、HTML形式の電子メールを前提にしているとばかり思っていたのですが、ここでは、例外的と言っていますね。面白いなぁ!! しかし、それならそういう対応をしてもらいたいものです。デフォルトではテキスト形式にするとか。
そうでないから、ウィルスメールの話なのに、IEが中心話題になり、そこに落し穴があったというわけですね。いやはやです。見栄え追求より安全性を!!
Niftermというパソコン通信の自動巡回とメールのためのソフトのフォーラム、FNIFTERM では、下記趣旨で質問しました。
07645/07645 MHF03673 高橋 賢 ウィルスとNifterm
( 9) 01/11/30 23:00
私は、ある事情から、ウィルスメールと思われるものを削除せず、残しています。と
ころが、ウィルスバスターで、Niftermの全ファイルを検索しても、感染ファイルなし
と出ます。Nifterm\Mailを検索すると、「検索対象ファイルなし」となります。
ウィルスバスターでは、Nifterm\Mailは、オフラインでも検索してくれないのでしょ
うか？ ウィルスつきと思われるファイルを保存し直して、それを検索すると見つけて
くれるかもしれないですが、そういう操作がなにか、恐ろしくて....。
IPCとかトレンドマイクロの情報を見ていると、メールをプレビューしただけでもやら
れるとあるのですが、メールの題名をダブルクリックして、中味は見ています。誰から
来たのか、どんな拡張子なのか、全て見ています。それをプレビューというなら、けっ
こう、やっています。
Outlook Expressでは、プレビューはだめだが(htmlを見てしまうから)、Niftermでは
大丈夫ということであって欲しいです。
「感染すると、以下のようにレジストリ値を追加する。
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\kernel32=kernel32.exe」
というIPAの情報(http://www.ipa.go.jp/security/topics/newvirus/badtrans-b.html) という情報で、レジストリも見てみたのですが、何もなしでした。
半日もたたないうちに、レスがあり、いろいろ教わりました。そして、長いツリーにしていただきました。およそ、次のようなことでした。
1 メール受信のときはチェックしないが、ファイル検査する段階で見つけて、隔離したので、ウィ
ルス付きメールが入っていたファイルが壊れてしまい、他のメールまで読めなくなってしまった。
2 今回のウィルス騒動で出てくる「プレビュー」とはHTMLファイルを開くこと。NifTermで受信した
だけの段階ではウィルスは感染しない。生ログファイルを開いてもそこにHTMLファイルは入ってい
ないので、NifTermを使用している限り、怪しい添付ファイルを開かなければ感染することはない。
3 NifTermでは添付ファイルに対して[開く]、[名前をつけて保存]、アイコンをドラッグして、どこ
かにドロップする、などの操作をしない限りデコードは行わない。
4 検索対象ファイルの設定はどうなっている？ デフォルトでは、「推奨するファイルのみ」を検
索対象として、.log や .txt は無視される。
5 無害であるがウイルスワクチンソフトがウイルスとみなしてくれるため、ウイルスワクチンソフ
トの稼動状況の確認に使用するファイル テストウイルス EICAR で、自分宛にメールを送信し
てみてはどうか？
1のように、チェックしてくれるケースもあるとのことなのに、どうしてという思いはありましたが、2,3で安心。4は、そういう設定があるとは露知らずで、「すべてのファイル」を検索することにして、ウィルスつきと思われるメールを残していたNiftermのメールフォルダを検索、しっかり見てくれましたが、ウィルスはやはりチェックしませんでした。まだ、いくつかのですが。
5は面白そうだと早速、eicar.comをダウンロードしようとしたのですが、その瞬間、ウイルスバスター2002が働いて、送信元のファイルが開けないということで落とせませんでした。リアルタイム検索を一時停止して、自分あてのメールに添付ファイルとするところまではできたのですが、リアルタイム検索を再開して送信しようとすると、しっかりとウィルスを検出したといってくる。 リアルタイム検索を停止して、送信しようとしても、ファイルが開かないと、しっかりガードしてくれます。あれれっという感じでした。
ほんもののウィルスはどうしてそうならないの？と再度、疑問がわき、いささか、釈然としない思いでいたのですが、5 ファイアウォール に書いたようないきさつで、ウイルスバスター2002からノートンのインターネット・セキュリティ2002に変えました。
すると、2月下旬、久しぶりに入ってきたBadtrans.Bつきメール受信のとき、みごとに反応して添付ファイルを自動的に削除してくれました。1件落着という感じです。私の機械、ウイルスバスター2001,2002、どこか調子が悪く、検出の邪魔をしていたのかもしれません。なお、ウイルスバスター2002とノートンのインターネット・セキュリティ2002の使用感は、次の6-2に書きます。
1 ウィルス関係URL
まずは、情報処理振興事業協会のIPAセキュリティセンター のホームページ。
ウィルスバスター2002を出しているトレンドマイクロの ウイルス情報 。左側のウイルスデータベースに最新のウィルス情報があります。
ノートン・アンチウィルスやインターネットセキュリティ2002を出している、シマンテック、security response。
McAfeeを出している日本ネットワークアソシエイツ、ウィルス情報メニュー。
マイクロソフトのホームページに ウィルス対策情報 というのもあります。alizやBADTRANS.Bの騒ぎの直後、12月5日朝、新しいウィルスがアメリカで発見されたとかで、パターン番号は一気に173から177にあがりましたが、2002/2/26には実に233となりました。実際に使われているプログラム、sulfnbk.exeはウィルスだから削除せよとの偽情報を出すものとか、MYPARTY ワームとか、次々とウィルスは出ています。
情報処理セキュリティセンター(IPA)に、ウイルス対策 スクール というのがあります。
ウィルスの種類として、
1) ブートセクタ感染型ウイルス(MBR（マスターブートレコード）領域などに感染)
2）ファイル感染型ウイルス(プログラムファイルに感染)
3)マクロウイルス(WordやExcelのマクロに感染)
とあり、それぞれの特徴と感染形態、感染後の対応法についての説明などがあります。
そこにはなかったのですが、最近のものは、ワーム（worm）と呼ばれるものが多いです。「通常のウイルスは感染対象のプログラムを必要としますが、ワームは、感染対象となるプログラムがなく、自分自身の複製をコピーして増殖します。ネットワークに接続されている他のマシンに出現するので、ネットワーク内を這い回るように見えることから、この名称が付けられました。」(ウイルス用語辞典 より)。
なお、ウイルス対策 スクールには、メールの添付ファイルの取り扱い 5つの心得 とか、パソコンユーザのためのウイルス対策 7箇条 、あるいは安易なダウンロードがもたらす大きな被害について などもあります。
新しいウィルス発生直後とか、ある種のトロイの木馬など、ウィルスソフトがチェックできないものもあるので、ウィルスソフトへの過信は禁物、やはり常に用心ですね。
2 ノートンのインターネット・セキュリティ2002にしたら.....
トレンドマイクロのウィルスバスター2001,2002と使ってきて、2001時代に私のマシーンの古いLANカードがパースナル・ファイアウォールとあわなかった感じで、ウィルスバスター2002になっても、そのトラブルがいつまでも尾をひいていたので、これをノート・パソコンに移し、私のマシーンには、ノートンのインターネット・セキュリティ2002を入れました｡ ノートンにすると、Niftermでやっていても、ウィルスメールをチェックしてくれるようになったことは、5章に書きましたが、その他の状況を書きます。なお、ファイアウォールに関しては、前述の「ADSL」の5 ファイアウォール に書いております。
ノートンのインターネット・セキュリティ2002とは、アンチウィルスとファイアウォールに加え、新たにプライバシー制御、広告ブロック、保護者機能がついたようですが、このプライバシー制御の制約がきついようです｡
1. 掲示板の送信ができない!!
私自身のホームページの掲示板で送信できなくなりました。"リンク元が不正のため投稿が受理できません"というぎょっとするようなメッセージから
Kentさんのclip.cgi(CLIP BOARD v1.4 (2001/10/12))のソースで、
# リンク元チェック (0=no 1=yes)
# → いたずら投稿防止に「リンク元」チェックを行う場合
$LinkCheck = 1;
とあるところをとりあえず、0にしたら送信できました。
他の方の掲示板でも投稿できないものがありました。cgiのソースをいじるわけにいかないですが、後述するIE6.0のセキュリティチェックのことを思い出して、ノートンのインターネット・セキュリティ2002のプライバシー制御 の「ブラウザプライバシー」を一時止めてみたら、無事送信できました。私の方の掲示板でも、再度、プライバシー制御を止めてテスト送信して送れることを確認しました。
全然問題なく送信できる掲示板もあり、「リンク元チェック」とか「アクセス制限」などのチェックがないものはいいようです。「ブラウザプライバシー」が掲示板投稿の際、いっしょに送るメールアドレスの送信を阻止しているのか？と思って、オンラインヒントを見たら、「ブラウザプライバシーを有効にする(B): ブラウザから Web サイトに電子メールアドレスが取り込まれるのを防ぎます。最後に表示した Web サイトを知られるのも防ぎます。」とありました。マニュアルP5-5には、「ブラウザプライバシーは使っているブラウザの種類と直前に表示したWeb サイトの情報をWeb サイトが取り込めないようにします。」とあリました。
この「ブラウザプライバシー」と掲示板CGIプログラムとの相互関係については、「掲示板・会員登録のプログラム」にcgiのソースを見て、原因らしいことを書きましたが、最後に表示した Web サイトを知られるのも防ぐのが妨げになるようです。ちょっと行き過ぎのような気もして、$LinkCheck=0としました。
2001年10月頃、IE6.0が出てきた直後、バージョンアップしたら掲示板がおかしくなったとパソコン通信に投稿があり、IE6.0の「表示」−「プライバシーレポート」−「設定」−「プライバシー」−設定のつまみを下げることで解決するという書き込みもありました。私も人にこれを伝達したら、直ったと感謝されたことがあったので、かすかに記憶しており、それをヒントにした次第ですが、いろいろありますね。
2. 一部のホームページで画像が見えなくなる!!
こういう問題も発生しました。これも、「ブラウザプライバシーを無効にする」で解決するのですが、こちらはしたのですが、「最後に表示した Web サイト」がひっかかるのか？ オンラインヒントの「電子メールアドレスを読み取ろうとする」クッキーでも入っているためか？
ところで、プライバシー制御を止めた状態で、インターネット・セキュリティ2002の「セキュリティリストスキャン」をかけると、ブラウザプライバシースキャンが要注意と出ます。復活させても戻らないことがあります。
また、ハードディスク初期化した後、一足遅れて再インストールしたNetscape6.2.1では、私のホームページの小さな画像が出ないことがありましたが、これは、ファイアウォール−インターネットアクセス制御に、Netscapeを追加することで解決しました。
3. メール発信失敗することがある!!
私のNiftermでは、全然問題がないのですが、仲間から、ノートンを入れたら、メール発信に失敗することがあるとメールをもらいました｡ そこで、Outlook Expressでテストしてみたのですが、特に問題はなさそうでした｡ しかし、パソコン通信に、似たような問題が報告されていました｡
「メール送信すると、送信済みトレイには入っているのですが、送信されていない
症状がでるようになりました。ノートンの電子メール保護機能が働くためのよう
です。」
「「オプション」「Antivirus」「電子メール」の設定で「電子メールのスキャン
時に時間切れから保護」にチェックが入っていますか。ここにチェックが入っ
ていても時間切れになってしまうようであれば、「発信メールのスキャン」を
外すしかないかも知れません。」
3 IE6.0(IE 5.5)の修正プログラム続々
こういうことになってきたから、マイクロソフトもやっと、セキュリティ重視を打ち出しました。対応も早く、ホームページのセキュリティ情報もやや探しやすく、分か
りやすくなってきたようです。Microsoft セキュリティ のページも作られ、修正パッチ、そのありか、サービスパックとの違いなどが解説されています。 また、「マイクロソフト プロダクト セキュリティ 警告サービス 日本語版」の無料サービスに申し込むと、新しいセキュリティ情報がリリースされると即座に概要を説明した電子メール メッセージが送られる由。
修正パッチをあてる最も簡単な方法は、スタート−Windows Update-「重要な変更」(ないし製品の更新)です。私はここで、「全て表示」にして、そこにあるインストール未とあるもので､必要そうなら、すぐダウンロードすることにしています。
しかし、ダウンロードサイトよりどうしても遅れるから、前述のメールサービスを受けたらというのがマイクロソフトの言い分です。私は、業界情報として、Today's on ZDNet やWelcome to CNET Japan! で見て対応しています。 直接、TechNet セキュリティ センター を見るのもいいですね。
2001/10以来、数回にわたって、IE 6.0(IE 5.5SP2)の修正パッチが次々に出ています。「IE6に重大な欠陥が、フィンランドの会社によって発見され大騒動になった。cookieの情報が完全に漏洩して盗まれてしまう」というもので、マイクロソフトが数回にわたって対応したものなどです。
2002/2/27現在、Windows Updateでできる最新のものは、2/11に更新されたMS02-005 に関する情報 です。 実行すると、IEのヘルプ−バージョン情報がIE6.0、更新バージョンがQ316059となります。
詳細は2002 年 2 月 11 日 Internet Explorer の累積的な修正プログラム (MS02-005) にありますが、やや難解です。昨年10、11、12月と出ていたものにさらに新しく6つの問題への対応を追加した「累積的な修正プログラム」ということです。順にやってきた人の「更新バージョン」 は、Q306121,Q312461,Q313675となっており、それに今回のQ316059が加わるし、今度、はじめて実施した人はすべてを「累積」したQ316059 のみです。
同じものですが、少し丁寧に操作を説明した、ホームユーザー向け セキュリティ対策 早わかりガイド - ステップ２ にあります。
2/12,2/14と、このすぐ後にさらに修正パッチが出てきます。忙しい。
4 OSの修正パッチ、Service Pack
IEだけでなく、OSの修正パッチもよく出ています。WindowsXpに、重大な欠陥ありと、2001/12/22に、NHKがやっていました。これも、スタート−WindowsUpdateからできるのでしょうから、お使いの方はやっておかれるといいでしょう。
2002/2/28現在、Win2000 の場合は、Windows Update-「重要な変更」−「全て表示」にしてみると、
1 セキュリティ問題の修正プログラム - 2002 年 2 月 12 日
「SNMP サービスに含まれる未チェックのバッファにより、任意のコードが実行される」脆弱性
(セキュリティ情報 MS02-006) の修正
2 セキュリティ問題の修正プログラム - 2001 年 11 月 20 日
「Windows Media Player で発生する「Windows Media Player の .ASF ファイル処理に、未チ
ェックのバッファが含まれる」脆弱性 (セキュリティ番号 MS01-056)の修正
3 Windows 2000 セキュリティ ロールアップ パッケージ (SRP1) - 2002 年 1 月
セキュリティ問題への累積的な修正プログラムで、Windows 2000 SP2 のリリース以降ののすべ
ての修正プログラムを含む。
4 Windows 2000 Service Pack 2 (2000/8頃)
これらを実施すると、4は、コントロール・パネル−システム−全般に「Service Pack 2」と出ます。3は、コントロール・パネル−アプリの追加・削除に、Windows 2000 Security Rollupと出ます。また、1も3と同じところに、Windows 2000 Hotfix(PreSP3)と出たように思います。
ところで、1のSNMPとは、「Simple Network Management Protocolで、ルータやスイッチ、各種ネットワークデバイスなどパソコン関連の周辺機器で広く利用されているネットワーク管理用プロトコル で、セキュリティ面での脆弱性を利用するような不正なSNMPパケットを受信すると、周辺機器のフリーズやネットワークからの切断、外部からのコントロールなどが可能になる。」 とのことで、ルータなどのメーカから、ファームウエアの入れ替えを要請されることになりそうです。
広範囲に該当する SNMP の脆弱性について 、SNMPに脆弱性 ―多くのネットワーク機器に影響― や 複合型の脅威とSNMPのセキュリティホールに注意 参照。
