momentary rest - ウイルスについて

最近デマ情報・デマメールが流行っています。
『sulfnbk.exeというファイルはウイルスに感染しているので、削除して下さい』というような内容です。

もしも、ハードディスク内に sulfnbk.exe が見つかっても削除しないで下さい。実際には sulfnbk.exe というファイルはWindowsのロングファイルネーム修正ユーティリティのモジュール名であり、Windows9x（95/98/98SE/Me）環境ではマシン内に存在して当然のファイルです（WindowsNT/2000/XPで見つかっても削除する必要はありません）。
もしも、削除してしまった場合は下記のリンクをよく読んでファイルを復元してください。
http://www.ipa.go.jp/security/topics/alert130530.html
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=SULFNBK
http://www.nai.com/japan/virusinfo/virHOAX.asp?v=SULFNBK_Hoax&a=HOAX

sulfnbk.exe 以外でも、『このファイルを削除してください』とか『DOS窓（DOSプロンプト）からこのコマンドを実行してください』等と書かれてあるものは、基本的にデマです。

こういった情報を、メールや個人の掲示板の書き込み等で見つけた場合は、そのファイル名等で検索してみて下さい。例として、 sulfnbk.exe をGoogle（日本語のページを検索）で検索したら、すぐにデマだとわかると思います。

送信者が知人の場合、その本人もデマだと知らずに善意から送信している場合が大半だと思います。その場合は、送信者にデマであることを伝えて、そのメールを削除してください。間違っても、デマメールを他の人に転送しないで下さい。

デマメール全般に関してのリンク
http://www.jcsa.or.jp/hoax2.html
http://www.trendmicro.co.jp/virusinfo/basic/dema.htm
http://www.symantec.com/region/jp/sarcj/hoax.html
http://www.nai.com/japan/virusinfo/vlibrary.asp?a=HOAX

悪意は無いとは思いますが、そういうメールに限って、複数の人に“To:”や“Cc:”で送信して、誰に送ったか丸見えだったりします・・・(^^;;;
デマメールやチェーンメール（『ワンギリ注意』メール等送られて迷惑なメール）の送信は絶対にしてはいけませんが、不特定多数に送信（ってこんな必要があるのかどうか・・・）するメールがあるときは、“Bcc:”で送信しましょう(^^;
OutlookやOutlookExpress、Becky!、Datula、EdMax等、ほとんどのメールソフトで“Bcc:”送信が出来ます。

▲

別名 W32/Badtrans.B@mm、WORM_BADTRANS.B、BADTRANS.Bなど
種別ワーム（トロイの木馬型）
感染サイズ 29,020 バイト
危険度 4（Symantec）、中（McAfee）

感染の防止

１．対象となるコンピュータは、マイクロソフト社の InternetExplorer （以下IE）と Outlook/OutlookExpress を使用しているWindows パソコン（NEC PC-9801/9821シリーズ含む）で、 IE 5.01/5.01SP1/5.5/5.5SP1が対象となります。その場合は、IE5.01SP2/5.5SP2/6.0（標準インストールを選択）のどれかにバージョンアップしてください。IE5以下（IE4など）の方もセキュリティに関してのバグ等がありますのでバージョンアップされることをおすすめします。

※特に、 IE 5.01/5.01SP1/5.5/5.5SP1の方は、Outlookでは感染メールを開いただけ、OutlookExpress（以下OE）では感染メールをプレビューしただけでも感染します。

IE5.01SP2/5.5SP2/6.0は、
http://www.microsoft.com/windows/ie_intl/ja/download/ からダウンロードできます。
回線の種類によっては、かなりの時間がかかることもありますが、Nimdaなど他のウイルス対策にもなりますし、セキュリティに関してのバグも少なくなっていますので、インストールしておいた方が安全です。

Windows XP（IE6.0標準）を使用している場合や、IE5.01SP2/5.5SP2/6.0（標準インストール）をインストールしている場合、Becky!やEdMaxなどのOutlook/OE以外のメーラー（メールソフト）を使用している場合でも、添付ファイルを実行した場合は、感染しますので実行しないで下さい。

Outlook/OE以外のメーラー（メールソフト）を使用している場合、HTML表示をOFFまたは、MSIEコンポーネントを使用しないようにしておいた方が安全です。

２．以上の対策をした上でウイルス監視ソフト（ワクチンソフト）を導入します。
おすすめは、トレンドマイクロのウイルスバスター2002か、シマンテックのNorton AntiVirus 2002（できればウイルス以外のセキュリティも向上させる為 Norton Internet Security 2002）です。もちろん他のウイルス監視ソフトでも構いません。

ウイルス監視ソフトを常駐させます。定義ファイル（パターンファイル）や検出エンジン（ネットワークアソシエイツのMcAfee VirusScanの場合）は常に最新にしておきましょう。

ウイルスの活動・症状

W32/Badtrans.Bは、電子メールの添付ファイルとして届きます。添付ファイル名は、数種類のファイル名のいずれかと2つの拡張子を組み合わせた名前です。
ファイル名に付加される拡張子のうち、最初の拡張子は、doc/mp3/zip のいずれか、2つめに付加される拡張子は、pif/scr のいずれかが使用されます。
私の所に届いたものでは、「Me_nude.MP3.scr」や「info.DOC.scr」といった名前がありました。
また、件名は「Re:」で、送信者のメールアドレスは「_okamitsu_01@yahoo.co.jp」のように頭に「_」が付いていました。

感染している場合、Windowsのシステムディレクトリに、Kernel32.exe/cp_25389.nls/kdll.dll の３つのファイルが作成されています。
また、Windowsのレジストリに以下の値が追加されます。

場所：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
　値：kernel32 = "kernel32.exe”

W32/Badtrans.Bは、感染すると MAPI（ Messaging API ）の機能を利用し、受信トレイの未読メールを探し、その返信として自身を添付してメールを送信します。
また、「My Document」や「Temporary Internet Files」フォルダなどの、拡張子が .ASP, .HTM, .HTML などのファイルを探し、そのファイル中のメールアドレスを宛先にして自身を添付したメールを送信することもあります。つまり、普段自分がIE（IEコンポーネント使用ブラウザ含む）で、見ているHP等に書かれているメールアドレスにも送信される可能性があります。

感染すると、パスワード等が盗まれる可能性があります。感染した場合は、ウイルスを修復（削除）した後、パスワード等を変更しておくことをお薦めします。

添付ファイル名、件名、送信者名などは上記の他にもありますので、下記のリンク先を熟読してください。
IPAセキュリティーセンター http://www.ipa.go.jp/security/topics/newvirus/badtrans-b.html
シマンテック http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.badtrans.b%40mm.html
トレンドマイクロ http://www.trendmicro.co.jp/badtrans/
ネットワークアソシエイツ http://www.nai.com/japan/virusinfo/virB.asp?v=W32/Badtrans@MM

感染後の対応

ウイルス監視ソフトを導入している場合は、システムを完全スキャンしてください。感染ファイルが見つかりましたら、完全に駆除します。Norton AntiVirusの場合、自動的には駆除できませんので、検疫場所への隔離後に“削除”を選んで手動で削除してください。

ウイルス監視ソフトを導入していない場合は、トレンドマイクロのオンラインスキャンや、シマンテックのセキュリティチェックでチェック後に、専用の駆除ツールで駆除してください。

駆除ツールは、下記のリンクからダウンロードできます。なお、ウイルス監視ソフトを導入している場合でも、不安な場合は、システムを完全スキャン後に、駆除ツールをご使用ください。
シマンテック（駆除ツール） http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.badtrans.b%40mm.removal.tool.html
トレンドマイクロ（自動駆除ツール） http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionID=3368

なお、駆除ツールをダウンロードする時には、説明をよく読み、使用許諾に同意した上で、ダウンロードしてください。
使用時には、ネットの接続を切断し、他に起動しているアプリは終了しておいて下さい。当然、ウイルス監視ソフトも終了してください。説明通りに使用後に、再起動して終了です。

ただ、ウイルス監視ソフトを導入していない場合は、早急に導入されることをおすすめします。

▲

別名 W32.Goner.A@mm、W32/Goner@MM、WORM_GONE.A、WORM_GONER.A、I-Worm.Gonerなど
種別ワーム（トロイの木馬型）
感染サイズ 38,912 バイト
危険度 4（Symantec）、高（McAfee）

W32/Goner は、電子メールの添付ファイルとして届きます。添付ファイルを実行することによって感染します。感染すると、Outlookアドレス帳に登録されている全てのアドレス宛にウイルスを添付したメールを送信します。

ウイルス添付メールは以下の内容です：
件名：　"Hi"
メール本文：
"How are you ?
When I saw this screensaver, I immediately thought about you
I am in a harry, I promise you will love it!"
添付ファイル名： "GONE.SCR"

感染の防止策は、ウイルス監視ソフト（ワクチンソフト）の、定義ファイル（パターンファイル）を最新にしておいて下さい。

感染していたら、ウイルス監視ソフトを導入している場合は、システムを完全スキャンしてください。感染ファイルが見つかりましたら、完全に駆除（削除）します。

ウイルス監視ソフトを導入していない場合は、トレンドマイクロのオンラインスキャンや、シマンテックのセキュリティチェックでチェック後に、専用の駆除ツールで駆除してください。なお、早急にウイルス監視ソフトを導入されることをおすすめします。

駆除ツールは、下記のリンクからダウンロードできます。なお、ウイルス監視ソフトを導入している場合でも、不安な場合は、システムを完全スキャン後に、駆除ツールをご使用ください。
シマンテック（駆除ツール） http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.goner.a%40mm.removal.tool.html
トレンドマイクロ（自動駆除ツール） http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionId=3388
なお、駆除ツールをダウンロードする時には、説明をよく読み、使用許諾に同意した上で、ダウンロードしてください。
使用時には、ネットの接続を切断し、他に起動しているアプリは終了しておいて下さい。当然、ウイルス監視ソフトも終了してください。説明通りに使用して下さい。

ウイルスの詳細は、下記のリンク先を御覧下さい。

シマンテック http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.goner.a%40mm.html
トレンドマイクロ http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_GONER.A
ネットワークアソシエイツ http://www.nai.com/japan/virusinfo/virG.asp?v=W32/Goner@MM

▲

別名 W32/Nimda.a@MM、W32.Nimda.A@mm、PE_NIMDA.Eなど
種別ワーム（トロイの木馬型）
感染サイズ 57,344バイト
危険度 4（Symantec）、中（McAfee）

W32/Nimda は、電子メールの添付ファイルとして届き、添付ファイルを開くことで感染します。IE 5.01/5.01SP1/5.5/5.5SP1の方は、Outlookでは感染メールを開いただけ、OutlookExpress（以下OE）では感染メールをプレビューしただけでも感染します。

また、改ざんされたWEBページ経由でも感染します。感染すると、ローカルシステム上に存在する.htm、.htmlファイルに含まれる電子メールアドレスを探します。また、MAPIを使って、電子メールクライアントの受信トレイ内にあるメールを調べます。OutlookやOEも含め、MAPI対応の電子メールクライアントはすべて影響を受けます。

このようにして入手したメールアドレスを、差出人と宛先のアドレスとして使用します。つまり、送信されるメールは、感染しているコンピュータのユーザからではなく、感染したコンピュータ上でNimdaが発見したメールアドレスのユーザから送信されたものに見えます。

感染の防止策は、W32/Badtrans.B の場合と同じでIE5.01SP2/5.5SP2/6.0（標準インストールを選択）のどれかにバージョンアップして、ウイルス監視ソフト（ワクチンソフト）を導入し、常駐して下さい。また、readme.exeというファイルは絶対にダウンロードしないでください。readme.exeを添付ファイルとして受信した場合も開かないで下さい。また、定義ファイル（パターンファイル）などは常に最新にしておきましょう。

感染していたら、ウイルス監視ソフトを導入している場合は、システムを完全スキャンしてください。感染ファイルが見つかりましたら、完全に駆除（削除）します。

ウイルス監視ソフトを導入していない場合は、トレンドマイクロのオンラインスキャンや、シマンテックのセキュリティチェックでチェック後に、専用の駆除ツールで駆除してください。なお、早急にウイルス監視ソフトを導入されることをおすすめします。

駆除ツールは、下記のリンクからダウンロードできます。なお、ウイルス監視ソフトを導入している場合でも、不安な場合は、システムを完全スキャン後に、駆除ツールをご使用ください。
シマンテック（駆除ツール） http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.nimda.a%40mm.removal.tool.html
トレンドマイクロ（駆除ツール） http://www.trendmicro.co.jp/nimda/tool.asp
ネットワークアソシエイツ（駆除ツール） http://www.nai.com/japan/nimdatool.asp
JCSA（Nimda/Sircam/MTX他駆除ツール） http://www.jcsa.or.jp/download/index.html

なお、駆除ツールをダウンロードする時には、説明をよく読み、使用許諾に同意した上で、ダウンロードしてください。
使用時には、ネットの接続を切断し、他に起動しているアプリは終了しておいて下さい。当然、ウイルス監視ソフトも終了してください。説明通りに使用して下さい。

ウイルスの詳細は、下記のリンク先を御覧下さい。
IPAセキュリティーセンター http://www.ipa.go.jp/security/topics/newvirus/nimda.html
シマンテック http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.nimda.a@mm.html
トレンドマイクロ http://www.trendmicro.co.jp/nimda/
ネットワークアソシエイツ http://www.nai.com/japan/virusinfo/virN.asp?v=W32/Nimda.a@MM

▲

別名 W32.Aliz.Worm、W32/Aliz@MM、WORM_ALIZ.A、ALIZ、TROJ_ALIZ.Aなど
種別ワーム（トロイの木馬型）
感染サイズ 4,096 バイト
危険度 4（Symantec）、中（McAfee）

W32/Aliz は、電子メールの添付ファイルとして届きます。添付ファイルを開くことで感染します。感染すると、OEのアドレス帳に登録されている全てのアドレス宛にウイルスを添付したメールを送信します。

IE 5.01/5.01SP1/5.5/5.5SP1の方は、Outlookでは感染メールを開いただけ、OutlookExpress（以下OE）では感染メールをプレビューしただけでも感染します。

感染の防止策は、W32/Badtrans.B の場合と同じでIE5.01SP2/5.5SP2/6.0（標準インストールを選択）のどれかにバージョンアップして、ウイルス監視ソフト（ワクチンソフト）を導入し、常駐して下さい。また、定義ファイル（パターンファイル）などは常に最新にしておきましょう。

感染していたら、ウイルス監視ソフトで、システムを完全スキャンしてください。感染ファイルが見つかりましたら、完全に駆除（削除）します。

ウイルスの詳細は、下記のリンク先を御覧下さい。
IPAセキュリティーセンター http://www.ipa.go.jp/security/topics/newvirus/aliz.html
シマンテック http://www.symantec.co.jp/region/jp/sarcj/data/w/w32.aliz.worm.html
トレンドマイクロ http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_ALIZ.A
ネットワークアソシエイツ http://www.nai.com/japan/virusinfo/virA.asp?v=W32/Aliz@MM

▲