複数のファイルを削除するFotodesnワーム

◆概要：
　Fotodesnは、Visual Basic 6.0で記述された新型ワームであり、このレポート作成の時点では拡散していない。Fotodesnのサイズは77,824バイトで、Microsoft Outlookのアドレス帳に保存されている全てのアドレスに大量メールを送信して感染する。

　Fotodesnは非常に破壊力が強く、複数のファイルを削除し、コンピューターの起動時にC:ドライブをフォーマットする。Fotodesnが送信する電子メールの特徴は以下の通り。

件名：
SUBJECT

メッセージ：
Tal como te promet?
te env? mi foto en el archivo adjunto....

添付ファイル：
CERTIFICATE.PDF.EXE (77,824 bytes)

　感染した添付ファイルを実行すると、Fotodesnがポルノ画像を表示し、さまざまな種類のファイルの無作為な削除を試みる。Fotodesnは、最初の感染時に、Windows SystemディレクトリーにCertificate.pdf.exe、Msoffice.exe、Thd16.exeの 3つのファイルを作成する。Thd16.exeを実行するたびに、Fotodesnがローカルドライブ上にある以下の種類の、5つのファイルを削除する。

・ BAK
・ BMP
・ CDR
・ CDX
・ CHM
・ DOC
・ DBF
・ DWG
・ GIF
・ HLP
・ HTM
・ ICO
・ JPG
・ MDB
・ MP3
・ SCR
・ TTF
・ XLS

　さらにFotodesnは、Windowsリジストリを変更して、Windows起動時にThd16.exe を実行する。

HKLMSoftwareMicrosoftWindowsCurrentVersionRunTHD16=C:Windows DirectorySystem hd16.exe

　また、Autoexec.bat を変更して、コンピューターの起動時にC:ドライブをフォーマットする。

FORMAT C: /u /v:THD16 /autotest

◆別名：
W32/Fotodesn、Fotodesn、Bloodhound.W32.VBWORM、Win32.HLLM.Generic.29、
W32.VBWORM

◆情報ソース
・ Panda Software ( http://www.pandasoftware.com ), April 04, 2002
・ iDEFENSE Intelligence Operations, April 04, 2002

◆分析：
　(iDEFENSE 米国) 現在公開されているこのワームに関する情報は、十分なものではない。ただし、Fotodesnは非常に悪質なワームであり、十分な警戒が必要である。このワームを実行すると、複数のファイルが削除され、C:ドライブがフォーマットされる可能性が高い。

◆検知方法：
　Fotodesnが作成した電子メールと、Windows System ディレクトリーのCertificate.pdf.exe、Msoffice.exe、Thd16.exe ファイルを探す。また、このワームが作成したWindowsリジストリキーの有無を確認する。

◆リカバリー方法：
　Fotodesn に関連した全てのファイルとWindowsリジストリを削除し、クリーンなバックアップコピーを使って感染または破損したファイルを修復する。Fotodesn をコンピューターから完全に削除した後は、必要に応じてソフトウェアを再インストールする。
　Autoexec.batを編集して、Fotodesn が追加したフォーマット行を削除する。

◆暫定処置：
　電子メールサーバーとワークステーションを設定して、他のコンピューターに感染する悪意のあるコードが利用する可能性の高いファイルの種類をブロックする。全ての新規ファイルを慎重に管理し、使用する前に最新のアンチウイルスソフトウェアの経験則を用いる検知機能を使ってスキャンする。

　通常の運用において支障が無ければWindows Scripting Host (WSH) をコンピューターから削除する。WSHが必要なコンピューターでは、Visual Basicスクリプトファイルをスクリプトエディターに関連付けて、VBS ファイルの自動実行を防止する。

◆ベンダー情報：
　Panda Software社のアンチウイルスソフトウェアが、現在この悪意のあるコードに対応している。他のアンチウイルスソフトウェアも、経験則を用いてこのコードを検知できる可能性がある。

※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　アイディフェンス社の iAlert サービスについて
　 http://shop.vagabond.co.jp/p-alt01.shtml
　情報の内容は以下の時点におけるものです。
　【18:58 GMT、04、05、2002】