ワールドカップの結果を装ってユーザーをそそのかすChick.F

◆概要：
　Chick.Fは、新しいChickファミリーの亜種で、現在開催されているワールドカップ大会の結果を報告するプログラムを装ってユーザーをそそのかすウイルスである。Chick.Fは、12,170バイトサイズを持つHTMLファイルとして電子メールおよびIRCを介して拡散する。Chick.Fによって送信された電子メールには、次の文字が含まれる。

Subject:
RE: Korea Japan Results

Message:
Take a look at these results... Regards

Attachment:
Koreajapan.chm (12,170 bytes)

　感染ファイルをインターネットブラウザ内で開くと、ActiveXコントロールを読み込もうとする。ユーザーが[はい]をクリックすると、ActiveXコントロールが実行され、Chick.Fがコンピューターに感染する。Chick.Fは、IRCが実行される毎にメモリーにワームを読み込む悪意のあるスクリプトでscript.iniを上書きする。その後、Chick.Fは、感染したコンピューターと同じチャンネルを使用している他のIRCユーザーにファイルの転送を実行し、他コンピューターへの拡散を試みる。

　さらに、Chick.Fは、WindowsディレクトリーにKoreajapan.chmとして自己コピーする。大量メール送信が重複しないように感染を追跡するため、Windowsのリジストリが以下の様に変更される。

HKLMSoftwareMicrosoftWindowsCurrentVersion
Chm=Numerical Value

　その後、Chick.Fにより次の[ヘルプ]ウィンドウが表示される。

Visual CHM 3.11
Enable ActiveX To See Korea Japan results

──────────────────

Kore Japan Results

Loading・・

◆別名：
　VBS/Chick.F、Chick.F、Chick, Britnee、WorldCup、Worm/Brit.F、Brit.F、Brit、BritneyPic Worm、World Cup

◆情報ソース：
・ Panda Software
( http://service.pandasoftware.es/servlet/panda.pandaInternet.EntradaDatosInternet?operacion=EV2FichaVirus&idVirusFicha=2666&pestanaFicha=1&idioma=2 ), June 04, 2002

◆分析：
　(iDEFENSE 米国) Chick.Fは経験則を使用しているアンチウイルスソフトウェアで簡単に検出される。このウイルスは、ユーザーがActiveXコントロールを有効にする必要があるため、一般に移行してもある程度の拡散力しか持たない可能性が高い。Chick.Fは、ワールドカップゲームに関連した悪意コードを警告する目的で、最近Sophos社で発行されたプレスレポートに対する応酬として作成された可能性がある。

◆検知方法：
　上記の電子メール、Chick.FでWindowsのSystemsディレクトリーに作成されたKoreajapan.chm及びワームで作成されたWindowsのリジストリキーを探す。コンピューターを熟知しているユーザーは、IRCディレクトリーでscript.iniに悪意の構成文が含まれていないかを確認する。

◆リカバリー方法：
　Chick.F関連する全ファイルとWindowsのリジストリキーを削除し、破壊・破損したファイルをクリーンなバックアップコピーで修復する。クリーンなバックアップコピーを使って、script.iniを修復する。

◆暫定処置：
　悪意コードが他コンピューターの拡散時に使用する種類のファイルをブロックするように、電子メールサーバーとワークステーションを設定する。すべての新規ファイルを慎重に管理し、経験則を用いる最新アンチウイルスソフトウェアでスキャンした後、使用する。全てのファイル転送をブロックするようなIRCプログラム構成をする。

◆ベンダー情報：
　Panda Software社アンチウイルスソフトウェアで、この新しい悪意コードへの対応が可能である。また、他のアンチウイルスソフトウェアも、経験則を用いてこのChick.Fを検知できる可能性がある。

※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　アイディフェンス社の iAlert サービスについて
　 http://shop.vagabond.co.jp/p-alt01.shtml
　情報の内容は以下の時点におけるものです。
　【19:13 GMT、06、05、2002】