【詳細情報】Potarワームがフォーラムから電子メールアドレスを収集（更新情報）

◆概要：
　Potarは電子メールを介して拡散する新しいワームである。Potarは、Delphiで記述されており、UPXで圧縮されている。

　Potarによって送信される電子メールには、以下のメッセージが含まれる。

From: mariya@mail.ru
Subject: Masha
Message: Privet!!! Izvini chto tak dolgo ne pisala. Poteryala tvoy adres. No Irina dala mne ego.
Vot Fotka, kotoru ti prosil. Gdu otveta. Tvoya Masha
Attachment: PhotoRar.exe (202,000 bytes)

　悪意のある添付ファイルが実行されると、PotarがMicrosoft WindowsのシステムディレクトリーにファイルPhotoRar.exeとして自己コピーを作成する。次に、PotarがWindowsの起動時にワームを実行するよう、Windowsのレジストリを以下のように変更する。

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Kernell32Dll=C:Windows directoryPhotoRar.exe

　Potarは、Windowsディレクトリーにファイルsupafly.datも作成する。このファイルには、以下のテキストが含まれている。

Salam vsem IZ AFRIKI. OSOBENNIY PRIVET GREEN13 v Bishkeke !!!

　このワームのテキストは、ロシア語を音訳したものである。添付ファイルに関連付けられた最初の文は、次のような内容を示す。「ご挨拶。長らくメール通信が途絶え、申し訳ありません。アドレスを無くしてしまったのです。でも、Irinaが教えてくれました。ご希望の写真を添付します。お返事をお待ちしています。あなたのMashaより。」

　2つ目の文は、ハッカーがいる可能性のある場所を示している。「アフリカから全人民に平和を祈る。BishkekのGREEN13に特別のご挨拶。」

　一旦インストールされると、Potarが独自のSMTPサーバーを使って大量メール送信を実行する。ワームは、forum.rol.ru、studio.by、diesel.elcat.kgにあるフォーラムからアドレスを収集する。

◆別名：
I-Worm.Potar、Potar

◆情報ソース：
・AVP ( http://www.avp.ch/avpve/worms/email/potar.stm ), Dec. 14, 2002
・iDEFENSE Intelligence Operations, Dec. 16, 2002

◆分析：
　(iDEFENSE 米国) Potarは、大量メール送信に使用する電子メールアドレスを上記のウェブサイトでオンラインアーカイブを管理しているフォーラムから収集するという特有のアドレス収集法を使用している。

　作者は、アフリカに住むロシア語を話す人物である。ワームは、旧ソビエト連邦（ロシア、ベラルーシ、キルギスタン）にあるフォーラムから電子メールを収集している。GREEN13の挨拶は、キルギスタンの首都であるビシュケクに住む誰かに宛てたものである。.exeファイルは、これらの国にいるロシア語を話す人物に宛てられているが、ワームの作者はキリル語用のキーボードを持っていないか、音訳のロシア語を使用してこのワームをより多くのユーザーに送るつもりであると見られる。

◆検知方法：
　電子メール、WindowsディレクトリーのファイルPhotoRar.exe、ワームによって作成されたWindowsレジストリキーを探す。

◆リカバリー方法：
　Potarに関連した全ファイルとWindowsのレジストリキーの変更をすべて削除する。破壊・破損したファイルをクリーンなバックアップコピーで修復する。

◆暫定処置：
　一般的に悪意のあるプログラムが他のコンピューターに拡散する際に用いる種類のファイルをブロックするよう電子メールサーバーとワークステーションを設定する。すべての新規ファイルを慎重に管理し、経験則を用いる最新のアンチウイルスソフトウェアでスキャンしてから使用する。

◆ベンダー情報：
　アンチウイルスベンダーでは、近い将来この新しい悪意のあるプログラムに対応したアップデートシグニチャファイルをリリースする可能性がある。一部のアンチウイルスソフトウェアも、経験則を用いてこの悪意のあるプログラムを検知できる可能性がある。

※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　アイディフェンス社の iAlert サービスについて
　 http://shop.vagabond.co.jp/p-alt01.shtml
　情報の内容は以下の時点におけるものです。
　【19:36 GMT、12、18、2002】