【詳細情報】Hocus Pocus Teamによって作成されたWhyHocPo

◆概要：
　WhyHocPoは、Hocus Pocus Teamが作成したとされるVisual Basic Script（VBS）ワームである。WhyHocPoはサイズが1.8kバイトで、一般的に電子メール、ネットワーク、リムーバブルメディア、インターネットリレーチャットなどのファイル共有媒体を介して他のコン

国際海外情報

20 views

2002.11.8 Fri 12:00

◆概要：
　WhyHocPoは、Hocus Pocus Teamが作成したとされるVisual Basic Script（VBS）ワームである。WhyHocPoはサイズが1.8kバイトで、一般的に電子メール、ネットワーク、リムーバブルメディア、インターネットリレーチャットなどのファイル共有媒体を介して他のコンピューターに拡散する。

　実行されると、WhyHocPoが自己コピーを作成する。自己コピーは、デスクトップ、スタートアップ、ローカルドライブのtempディレクトリーに7baby.vbsとして保存される。さらに、7baby.vbsを指す2つの新しいショートカットを作成し、デスクトップとFavoritesディレクトリーに保存する。実行されると、次のメッセージボックスが表示される。

VBS.WhyMe
Fret Now!! Just A Simple Virus By The Hocus Pocus Team!!

[ OK ]

別名:
VBS/WhyHocPo、WhyHocPo、VBS.WhyMe、WhyMe

◆情報ソース：
・Central Command Inc. ( http://support.centralcommand.com/cgi-bin/command.cfg/php/enduser/std_adp.php?p_refno=021028-000013 ) , Oct. 28, 2002

◆キーワード：
　Trojan: Other Worm: Other

◆分析：
　(iDEFENSE 米国) WhyHocPoが一般に拡散する方法は明確ではないが、電子メールを介しては拡散しないといわれている。コンピューターからコンピューターに拡散するのではなく、特定のターゲットに送信され、ローカルコンピューターで拡散するトロイの木馬の性質を持っている可能性がある。

◆検知方法：
　ワームによって作成されたファイル、ショートカットのリンク、メッセージを探す。

◆リカバリー方法：
　WhyHocPoに関するすべてのファイルを削除し、破壊・破損したファイルをクリーンなバックアップコピーで修復する。

◆暫定処置：
　すべての新規ファイルを慎重に管理し、経験則を用いる最新のアンチウイルスソフトウェアでスキャンしてから使用する。通常のオペレーションではWSH（Windows Scripting Host）が不要な場合、それをコンピューターから削除する。WSHが必要なコンピューターでは、VBSファイルの自動実行を防ぐため、VBSをスクリプトエディターに関連づけるか、または関連づけを完全に削除する。

◆ベンダー情報：
　現在、セントラルコマンド社のアンチウイルスソフトウェアは、この悪意のあるプログラムへの対応が可能である。また、他のアンチウイルスソフトウェアも、経験則を用いてWhyHocPoを検知できる可能性がある。

※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　アイディフェンス社の iAlert サービスについて
　 http://shop.vagabond.co.jp/p-alt01.shtml
　情報の内容は以下の時点におけるものです。
　【19:35 GMT、10、28、2002】