ウイルス情報

かかりやすさ：中

( Worm.Bagle.AY )

メール添付ファイルから感染する［メール無断送信］ワーム

別名＿：
Bagle.AX、W32/Bagle.bj@MM、WORM_BAGLE.AY
更新日：
2005年1月26日(水)
■感染したらどうなる
  • ウイルス対策ソフトが正常に動作しなかったり、ネットワークのトラフィックが発生します。また、メールやファイル共有ネットワークを介して繁殖します。パソコンの動作が不安定になった場合には要注意です。
■感染しないためには
  • メールに添付された添付ファイルをむやみに実行しないようにしてください。
    拡張子は「.exe、.scr、.com、.cpl」です。詳しくは「詳細情報」をご覧ください。
■どうすれば直る
  • 「ウイルスセキュリティ」は、すでにこのウイルスに対応済みです。ご安心ください。
■詳細情報
  • 送信されるメールの形式は以下の通りですのでご注意ください。

    差出人：感染したパソコンからランダムにメールアドレスを取得し、なりすまします。
    件名:以下のいずれかの可能性があります。
    Delivery by mail
    Delivery service mail
    Is delivered mail
    Registration is accepted
    You are made active

    本文:以下のいずれかの可能性があります。
    Thanks for use of our software.
    Before use read the help

    添付ファイル：ファイル名は以下のいずれかの可能性があります。
    Jol03
    guupd02
    siupd02
    upd02
    viupd02
    wsd01
    zupd02

    拡張子は以下のいずれかの可能性があります。
    .exe
    .scr
    .com
    .cpl
  • レジストリの値を作成
    添付ファイルを実行すると、ワームがシステムディレクトリに「sysformat.exe」としてコピーします。

    機能を有効にするために、以下にファイルを作成します。
    %System%\sysformat.exeopen
    %System%\sysformat.exeopenopen

    システム起動時にウイルスが実行されるように、レジストリの値を作成します。
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    "sysformat" = %System%\sysformat.exe

    以下のレジストリから、「My AV」「ICQ Net」の値が削除されます。
    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

    以下のレジストリキーを追加する可能性があります。
    HKEY_CURRENT_USER\Software\Microsoft\DownloadManager
    HKEY_LOCAL_MACHINE\Software\Microsoft\DownloadManager

    %System%は、システムディレクトリです。
  • 大量メール送信
    このウイルスは、ハードディスク内を検索して、以下の拡張子のファイルから、ウイルスのコピーの送り先とするためのメールアドレスを抜き取ります。
    .adb
    .asp
    .cfg
    .cgi
    .dbx
    .dhtm
    .eml
    .htm
    .jsp
    .mbx
    .mdx
    .mht
    .mmf
    .msg
    .nch
    .ods
    .oft
    .php
    .pl
    .sht
    .shtm
    .stm
    .tbb
    .txt
    .uin
    .wab
    .wsh
    .xls
    .xml

    以下の文字列を含むアドレスには送信しません。
    @avp.
    @foo
    @iana
    @messagelab
    @microsoft
    abuse
    admin
    anyone@
    bsd
    bugs@
    cafee
    certific
    contract@
    f-secur
    feste
    free-av
    gold-certs@
    google
    help@
    icrosoft
    info@
    kasp
    linux
    listserv
    local
    news
    nobody@
    noone@
    noreply
    ntivi
    panda
    pgp
    postmaster@
    rating@
    root@
    samples
    sopho
    spam
    support
    unix
    update
    winrar
    winzip
  • ファイル共有ソフトでの繁殖
    「Sher」含むディレクトリに自分自身をコピーします。
    1.exe
    2.exe
    3.exe
    4.exe
    5.scr
    6.exe
    7.exe
    8.exe
    9.exe
    10.exe
    ACDSee 9.exe
    Adobe Photoshop 9 full.exe
    Ahead Nero 7.exe
    Matrix 3 Revolution English Subtitles.exe
    Opera 8 New!.exe
    WinAmp 5 Pro Keygen Crack Update.exe
    WinAmp 6 New!.exe
    Windown Longhorn Beta Leak.exe
    XXX hardcore images.exe
  • 以下のセキュリティ対策ソフトのプログラムを強制終了させます。
    APVXDWIN.EXE
    ATUPDATER.EXE
    AUPDATE.EXE
    AUTODOWN.EXE
    AUTOTRACE.EXE
    AUTOUPDATE.EXE
    AVENGINE.EXE
    AVPUPD.EXE
    AVWUPD32.EXE
    AVXQUAR.EXE
    Avconsol.exe
    Avsynmgr.exe
    CFIAUDIT.EXE
    DRWEBUPW.EXE
    DefWatch.exe
    ESCANH95.EXE
    ESCANHNT.EXE
    FIREWALL.EXE
    FrameworkService.exe
    ICSSUPPNT.EXE
    ICSUPP95.EXE
    LUALL.EXE
    LUCOMS~1.EXE
    MCUPDATE.EXE
    NISUM.EXE
    NPROTECT.EXE
    NUPGRADE.EXE
    OUTPOST.EXE
    PavFires.exe
    Rtvscan.exe
    RuLaunch.exe
    SAVScan.exe
    SHSTAT.EXE
    SNDSrvc.exe
    UPDATE.EXE
    UpdaterUI.exe
    VsStat.exe
    VsTskMgr.exe
    Vshwin32.exe
    alogserv.exe
    bawindo.exe
    blackd.exe
    ccApp.exe
    ccEvtMgr.exe
    ccProxy.exe
    ccPxySvc.exe
    mcagent.exe
    mcshield.exe
    mcvsescn.exe
    mcvsrte.exe
    mcvsshld.exe
    navapsvc.exe
    navapw32.exe
    nopdb.exe
    pavProxy.exe
    pavsrv50.exe
    symlcsvc.exe
  • 以下ドメインからファイルをダウンロードし、%System%\re_file.exe として保存しようとします。
    www.24-7-transportation.com
    www.DarrkSydebaby.com
    www.FritoPie.NET
    www.adhdtests.com
    www.aegee.org
    www.aimcenter.net
    www.alupass.lu
    www.amanit.ru
    www.andara.com
    www.angelartsanctuary.com
    www.anthonyflanagan.com
    www.approved1stmortgage.com
    www.argontech.net
    www.asianfestival.nl
    www.atlantisteste.hpg.com.br
    www.aviation-center.de
    www.bbsh.org
    www.bga-gsm.ru
    www.boneheadmusic.com
    www.bottombouncer.com
    www.bradster.com
    www.buddyboymusic.com
    www.bueroservice-it.de
    www.calderwoodinn.com
    www.capri-frames.de
    www.celula.com.mx
    www.ceskyhosting.cz
    www.chinasenfa.com
    www.cntv.info
    www.compsolutionstore.com
    www.coolfreepages.com
    www.corpsite.com
    www.couponcapital.net
    www.cpc.adv.br
    www.crystalrose.ca
    www.cscliberec.cz
    www.curtmarsh.com
    www.customloyal.com
    www.deadrobot.com
    www.dontbeaweekendparent.com
    www.dragcar.com
    www.ecofotos.com.br
    www.elenalazar.com
    www.ellarouge.com.au
    www.esperanzaparalafamilia.com
    www.eurostavba.sk
    www.everett.wednet.edu
    www.fcpages.com
    www.featech.com
    www.fepese.ufsc.br
    www.firstnightoceancounty.org
    www.flashcorp.com
    www.fleigutaetscher.ch
    www.fludir.is
    www.freeservers.com
    www.gamp.pl
    www.gci-bln.de
    www.gcnet.ru
    www.generationnow.net
    www.gfn.org
    www.giantrevenue.com
    www.glass.la
    www.handsforhealth.com
    www.hartacorporation.com
    www.himpsi.org
    www.idb-group.net
    www.immonaut.sk
    www.ims-i.com
    www.innnewport.com
    www.irakli.org
    www.irinaswelt.de
    www.jansenboiler.com
    www.jasnet.pl
    www.jhaforpresident.7p.com
    www.jimvann.com
    www.jldr.ca
    www.justrepublicans.com
    www.kencorbett.com
    www.knicks.nl
    www.kps4parents.com
    www.kradtraining.de
    www.kranenberg.de
    www.lasermach.com
    www.leonhendrix.com
    www.magicbottle.com.tw
    www.mass-i.kiev.ua
    www.mepbisu.de
    www.mepmh.de
    www.metal.pl
    www.mexis.com
    www.mongolische-renner.de
    www.mtfdesign.com
    www.oboe-online.com
    www.ohiolimo.com
    www.onepositiveplace.org
    www.oohlala-kirkland.com
    www.orari.net
    www.pankration.com
    www.pe-sh.com
    www.pfadfinder-leobersdorf.com
    www.pipni.cz
    www.polizeimotorrad.de
    www.programmierung2000.de
    www.pyrlandia-boogie.pl
    www.raecoinc.com
    www.realgps.com
    www.redlightpictures.com
    www.reliance-yachts.com
    www.relocationflorida.com
    www.rentalstation.com
    www.rieraquadros.com.br
    www.scanex-medical.fi
    www.sea.bz.it
    www.selu.edu
    www.sigi.lu
    www.sljinc.com
    www.smacgreetings.com
    www.soloconsulting.com
    www.spadochron.pl
    www.srg-neuburg.de
    www.ssmifc.ca
    www.sugardas.lt
    www.sunassetholdings.com
    www.szantomierz.art.pl
    www.the-fabulous-lions.de
    www.tivogoddess.com
    www.tkd2xcell.com
    www.topko.sk
    www.transportation.gov.bh
    www.travelchronic.de
    www.traverse.com
    www.uhcc.com
    www.ulpiano.org
    www.uslungiarue.it
    www.vandermost.de
    www.vbw.info
    www.velezcourtesymanagement.com
    www.velocityprint.com
    www.vikingpc.pl
    www.vinirforge.com
    www.wecompete.com
    www.worest.com.ar
    www.woundedshepherds.com
    www.wwwebad.com
    www.wwwebmaster.com
  • 不正アクセスの許可
    このウイルスに感染すると、TCPポート2339番以降のランダムなポートが開かれ、不正なアクセスを許可してしまいます。