２０００年５月１２日
情報処理振興事業協会

コンピュータウイルスの発見届出状況について

１．２０００年４月ウイルス発見届出状況

　情報処理振興事業協会（略称ＩＰＡ・石井賢吾理事長）は、2000年４月のコンピュータウイルスの発見届出状況をまとめた。

　●発見届出件数

４７６件（先月４９０件、１月〜４月累計１，８４１件）

　　［'99年４月　３４１件、'99年一年間３,６４５件（月平均約３０４件）、'99年１月〜４月：１２４５件］ 　

　　［'90年４月から2000年４月までの届出総数１３,６８３件］　

　●発見届出状況

　電子メールを悪用して感染が拡大するウイルスの発見届出が引き続きトップを占めている。
　メールの添付ファイルはウイルス検査後開くなどの対策の徹底が望まれる。
　届出ウイルスの種類は２９種類で、 一番届出の多かったウイルスは、W32/PrettyParkが１３９件（先月１０１件）、次いでXM/Larouxで９３件（先月９３件）であった。
　４月の新種ウイルスは、｢W97M/Panther｣｢Ｘ97M/Sugar｣｢Wscript/KakWorm｣「VBS/Tune」の４種類
　感染経路は、メールにより感染したケースが最も多く、海外からのメールにより感染したケースを含めると、不明を除いた届出件数の約９４％を占めている。

２．今月の特記事項

（１）メール機能を悪用するウイルス

　メール機能を悪用したウイルスW32/PrettyParkの届出が引き続き最多の139件となった(最初の届出は1999年９月の18件、今年は2000年１月31件、２月37件、３月101件)。
　アドレス帳に登録されているメールアドレス全てに対し、ウイルスを添付したメールを送信するウイルスで、このようなウイルスに感染すると、知らないうちにウイルスをアドレス帳に登録されたメールアドレス先に出してしまい、ウイルス感染の加害者になってしまう危険がある。たとえ、友人、知人からのメールであっても、Prettypark.exeという名称の添付ファイルは、速やかに削除して、決して実行してはならない。また、送信元が感染に気づいていない場合がほとんどなので、相手にウイルスに感染している旨の連絡を行うことが重要である。

　また、2000年５月には、やはりメール機能を悪用したVBS/LOVELETTERが出現している。今後もメール機能を悪用するウイルスの出現が予想されるため、添付ファイルの取り扱いには、細心の注意を払うようにすることが必要である。

　このようなメール機能を悪用するウイルスの対策は
　　　「不用意に添付ファイルを実行（ダブルクリック）しないこと」
に尽きる。
　　添付ファイルを実行（ダブルクリック）する前に行うべき事項を以下に示す。
　　　ａ）最新のワクチンソフトでウイルス検査を行うこと。
　　　ｂ）送信者に問い合わせを行う等により、ファイルの安全を確認すること。

　　　参考：VBS/LOVELETTERの詳細情報  

（２）W32/CIHの発病によるハードディスク内容の破壊

　実行プログラムファイルに感染するW32/CIH（俗称チェルノブイリウイルス）の感染届出が18件あった（最初に届出のあったのは1998年８月の4件、1999年４月75件、今年は2000年１月17件、２月7件、３月13件)。主な発病日のひとつである４月26日になると、ハードディスクの内容を破壊してしまう悪質なウイルスである。教育機関のパソコン119台に感染し、このうち89台が発病して、ハードディスクの内容が破壊されたケースが届出されている。
　また、IPAセキュリティセンターのウイルス110番には、４月26日にハードディスクの内容が破壊され、パソコンが立ち上がらなくなったとの問合せが４月26日から28日の間に20件程寄せられた。

　W32/CIHに関する届出件数及びウイルス110番への問合せ件数は、昨年に比べて数分の一に減少してはいるが、発病によりハードディスクの内容が破壊される被害は、引き続き発生している。ワクチンプログラムを導入し、適切にウイルス検査を実施していれば、発病前に検出、対応が取れたはずである。なお、CIHに関しては、６月26日に発病する等の変種もあるので、常日頃のウイルス対策の実施が重要であり、この機会に、ウイルス対策の再点検を望む。

　　　　　参考：W32/CIHに関する情報

コンピュータウイルスに関する届出制度について

　コンピュータウイルスに関する届出制度は、通商産業省のコンピュータウイルス対策基準に基づき、'90年4月にスタートした制度であって、コンピュータウイルスを発見したものは被害の拡大と再発を防ぐために必要な情報をＩＰＡに届け出ることとされている。
　ＩＰＡでは、個別に届出者への対応を行っているが、同時に受理した届出等を基に、コンピュータウイルス対策を検討している。また受理した届出は、届出者のプライバシー を侵害することがないように配慮した上で、被害等の状況を分析し、検討結果を定期的に公表している。

　○コンピュータウイルス対策基準
　　・通商産業省告示第１３９号　平成２年４月１０日制定
　　・通商産業省告示第４２９号　平成７年７月　７日改訂
　　・通商産業省告示第５３５号　平成９年９月２４日改訂

　今月、届出のあったウイルスは２９種類であった。届出件数の多いウイルスは、W32/PrettyParkが１３９件となっている。初めて届けられたウイルスは、W97M/Panther、X97M/Sugar、Wscript/KakWorm、VBS/Tune（※印）の４種類である。
　(マクロウイルス、スクリプトウイルス２１９件、Windows、DOSウイルス２５７件）　

注）
　ウイルス名欄で、
　　XMは、MSexcel95、97で動作するウイルス。（ExcelMacroの略）
　　W97Mは、MSword97で動作するウイルス。（Word97Macroの略）
　　W97M/X97M/P97Mは、MSword97、MSexcel97、MSpowerpoint97で動作するウイルスを示す。
　　（Word97Macro/Excel97Macro/PowerPoint97Macroの略）
　　X97Mは、MSexcel97で動作するウイルス。（Excel97Macroの略）
　　WMは、MSword95で動作するウイルス。（WordMacroの略）
　　W32/は、Windows32ビット環境下で動作するウイルスを示す。
　　VBS/は、VisualBasicScriptで記述されているウイルスを示す。
　　Wscriptは、WindowsScriptingHost環境下（VBSを除く）で動作するウイルスを示す。

４月の届出の中で、検査発見・駆除修復に使われたウイルス対策ソフト及びメーカーを参考に示す。

３．届出の概要

（１）４月にＩＰＡに初めて届け出のあったウイルスの概要を記述する。

「W97M/Panther」（Word97Macro/Panther）
　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスで ある。ウイルスに感染した文書ファイルを読み込むとそのMSwordに感染する。感染した MSwordで作成、編集した文書ファイルを閉じたときにそのファイルに感染する。
　感染すると、「ツール」/「オプション」/「全般」タブの「マクロウィルスを自動検出する」の項目をオフに設定する。発病はない。
　このウイルスは、日本語版MSword97/98/2000及び英語版MSword97/2000で感染する。

「X97M/Sugar」（Excel97Macro/Sugar）
　このウイルスは、マイクロソフト社のExcel（以下MSexcel）を介して感染するウイルスである。ウイルスに感染したデータファイルを読み込むと、XLStartフォルダに、「Book1.XLS」と いうウイルスに感染したファイルを作成する。以降MSexcelでデータファイルを作成、編集して、 閉じるときにそのデータファイルに感染する。
　感染すると、「ツール」/「オプション」/全般タグの「マクロウィルスから保護する」の設定をオフにする。
　１０月〜１２月の間で、システムの日付と分が同一のときに、以下のような操作を行うと発病する。
　・感染したデータファイルを閉じたとき。
　・感染したデータファイルを開いた状態で、さらに他のファイルを開いたとき。
　発病すると、Ａ１からＶ20のランダムなセルに「-（Dr.Diet　MoutainDew)-」が書き込まれ、 Ａ１のセルに「The ［Sugar..Poppy］-by VicodinES」が書き込まれる。
　このウイルスは、日本語版MSexcel97/2000及び英語版MSexcel97/2000で感染、発病する。

「Wscript/KakWorm」（WIndowsScriptingHost/KakWorm）
　KakWormはOutlookExpresのHTML形式のメールの署名ファイルに埋め込まれており、 InternetExplorer５、WSH（※１)がインストールされている環境で、マイクロソフト社の OutlookExpressでメールを開いたときまたは、プレビューウインドウを使ったときに動作する。
　まず、Kak.htaという名称のファイルをC:\Windows\Start Menu\Programs\Startup\ （英語環境の場合）に作成し、次のWindows起動時に実行されるようにする。
　次回起動時にKak.htaが実行されると、OutlookExpressのデフォルト署名のファイルをKak.htmファイルに変更するとともに、送信メールの設定をHTML形式に変更する。
　そして、ウイルスの内容の一部をHTMLに変更した、不可視属性のKak.htmというファイルを Windowsフォルダに作成する。この状態で、OutlookExpressで送信したメールには、ウイルスが 埋め込まれた署名ファイルが追加される。
　毎月１日の18時以降に、Kak.htaファイルが実行されると、下記のメッセージを表示し、 ＯＫを押すと、コンピュータがシャットダウンする。
　　「Kagou-Anti-Kro$oft says not today !」
　このウイルスは、InternetExplorer5のセキュリティホールを悪用しているウイルスである。パッチを当てた上で、適切なセキュリティレベル設定を行えば、このウイルスの自動実行を防止できる。
　このウイルスは、英語版、フランス語版のWindows95/98で感染・発病する。

「VBS/Tune」（VisualBasicScript/Tune）
　このウイルスは、通常はメールの添付ファイルを介して拡がっていく。WSHがインストールされている環境で、Tune.vbsというファイルを実行すると、Windowsフォルダ、 Windows\Systemフォルダ、Windows\Tempフォルダに、Tune.vbsというファイルを作成し、次回の起動時にTune.vbsが実行されるようにレジストリ等を変更する。
　次に、ネットワークドライブを含むＡからＺまでのドライブを検索して、見つかったドラ イブのルートディレクトリにTune.vbsをコピーする。
　そして、Outlookのアドレス帳に登録されているメールアドレス全てに対して、下記の内容 のメールに、Tune.vbsというファイルを添付して送信する。
　Subject：Please Read
　本文：Hey,you really need to check out this attached file
　　　 　I sent you ...please check it out as soon as possible.
　またＣドライブのルートディレクトリに、mIRC、PIRCH98というIRC（※２）クライアント ソフトがインストールされているかどうかを調べ、mIRCがインストールされている場合は script.iniファイルを、PIRCH98がインストールされている場合はevents.iniファイルを書き換える。以降、mIRC、PIRCH98を起動してチャットを行うと、参加者に対して、Tune.vbsファイルを送信する。
（※１Windows Scripting Hostの略、※２Internet Relay Chatの略）

（２）届出の届出者別件数は次のとおりである。一番多い届出は、一般法人ユーザからのもので、 約９４％を占めている。

（３）届出の地域別件数は次のとおりである。関東地方が最も多く、続いて近畿地方、中部地方の順となっている。

（４）届出から感染経路を区分けすると次の表のようになる。海外からのメールも含めたメールにより感染したケースが最も多く、大部分を占めており、不明を除いた届出件数の約９４％となる。

（５）届出のあったウイルスが感染させたパソコンの台数は次のとおりである。感染台数の欄０台は、ＦＤのみの感染またはファイルのみの感染を示し、事前の検査により、パソコンに感染する前にウイルスを発見したものである。

特定日発病ウイルスについて

　ウイルスの被害の拡大を防止する意味から、今回は、ＩＰＡに届出されたウイルスの中で、５月１２日〜６月３０日に発病する可能性がある主なウイルスを下記に掲げた。（参考：特定日発病ウイルス［ウイルスカレンダー］ ）
　発病してからではデータを破壊される等修復が困難となるので市販のワクチンソフト等を用いて、発病する前に発見・駆除することを望む。（駆除方法についてはＩＰＡまで）

（１）W97M/Class(Word97Macro/Class）

　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスで ある。このウイルスに感染した文書ファイルを読み込むとそのMSwordに感染する。毎月 31日に感染したファイルを開くと、次のようなメッセージを表示する。

　　This is Class　
        VicodinES /CB /TNN

　６月から12月の14日に感染したファイルを閉じると、次のようなメッセージを表示する亜種(Class.D)もある。

      I think（Name of the current user）is a big stupid jerk!
      VicodinES Loves You/Class Poppy

（２）W32/CIH

　このウイルスは常駐型でWindows95/98の32ビット実行形式ファイルに感染するファイル感染型ウイルスである。
　感染したファイルを実行すると、メモリに常駐し、プログラムの実行、ファイルのコ ピー等でオープンしたプログラムファイルに感染する。発病するとハードディスクの先 頭部分を無意味なデータで上書きするため、ディスク内容にアクセスできなくなる。
　また、コンピュータが使用しているチップセットが、インテル４３０ＴＸかその互換 チップの場合には、BIOS ROMのブートブロックに無意味なデータを上書きして、内容を破壊する。
　このウイルスには、４月２６日発病、６月２６日発病等の種類がある。

　　参考：W32/CIHに関する情報

問い合わせ先：

　

IPA（情報処理振興事業協会）セキュリティセンターウイルス対策室

TEL 03-5978-7508　FAX　03-5978-7518　E-mail　virus@ipa.go.jp