２０００年６月６日
情報処理振興事業協会

コンピュータウイルスの発見届出状況について

１．２０００年５月ウイルス発見届出状況

　情報処理振興事業協会（略称ＩＰＡ・石井賢吾理事長）は、2000年５月のコンピュータウイルスの発見届出状況をまとめた。

　●発見届出件数

９００件（先月４７６件、１月〜５月累計２，７４１件）

　　［'99年５月　３０６件、'99年一年間３,６４５件（月平均約３０４件）、'99年１月〜５月：１,５５１件］ 

　　［'90年４月から2000年５月までの届出総数１４,５８３件］　

　●発見届出状況

　 発見届出件数は９００件と、月間の届出件数で過去最高となった（今までの最高は2000年 ３月の490件)。また、ゴールデンウィーク中に発見されたVBS/LOVELETTERウイルスが、１種類のウイルスの月間の届出件数として過去最高の346件となった。

　感染経路は、メールにより感染したケースが最も多く、不明を除いた届出件数の約96％を占めており、そのうち海外からのメールにより感染したケースが約60％であった。
　届出ウイルスの種類は33種類で、一番届出の多かったウイルスは、VBS/LOVELETTERが 346件、 次いでXM/Larouxが104件(先月93件)、W32/PrettyParkが98件（先月139件）であった。

　５月の新種ウイルスは､｢VBS/LOVELETTER｣｢W97M/Eight941｣｢W97M/Vmpck1」｢W97M/Verlor｣｢X97M/Manalo｣の５種類である。VBS/LOVELETTERを除く４種はマクロウイルスで、いずれも メールを悪用しての感染やファイル破壊などの機能は持っていない。

２．今月の特記事項

（１）VBS/ＬＯＶＥＬＥＴＴＥＲウイルス

　ゴールデンウィーク中に発見されたVBS/LOVELETTERウイルスが、１種類のウイルスの月間の届出件数として過去最高の346件となったが（今までの最高は'99年３月のW32/Ska(Happy99) の181件)、このうち、実際に添付のウイルスファイルを開いて感染被害に遭ったケースは９件で、感染パソコンの合計は19台であった（'99年３月のW32/Skaの場合、添付ファイルを開いて感染被 害に遭ったケースは132件、感染パソコンの合計は253台)。346件のうち、残りの337件はメールが届いた段階で検出し感染に至らなかったケースである。
　企業が休みの間に大きなニュースとして取り上げられたため、ユーザが連休明けには注意深くメールを処理したこと、システム管理者が連休中に対処をしていたことから、大きな被害に至らなかったものと思われる。

　　　参考：VBS/LOVELETTERの詳細情報

（２）メール機能を悪用するウイルスの対策

　海外では、VBS/LOVELETTERに類似のウイルスや、W97M/Melissaの亜種などメールを悪用して感 染を拡げるウイルスが数多く発見されている。これらのメールを悪用するウイルスは、その差出人アドレスが知合いのアドレスである場合が多いので、怪しげな添付ファイル付きのメールは、知合いからのものこそ一層の注意が必要である。
　新種・亜種が多く出現していることから、ワクチンのアップデートを行うとともに
　「不用意に添付ファイルを実行（ダブルクリック）しないこと」
を心がける。事前にワクチンソフトでウイルス検査を行い、また送信者に問い合わせを行う等によりファイルの安全を確認することが肝要である。

メールの機能を悪用するウイルスについての概要を添付する。

（３）届出データにおける感染被害と未然防止の実状分析

　次ページの毎月の届出件数推移のグラフに、メール受信のみ等のパソコン感染前に発見し感染に至らなかった件数を分けて示した。
　今年に入って、全体の届出件数は大幅に増加しているものの、１〜５月累計では約８０％がメールが届いた段階で検出されており、ウイルス対策が浸透してその効果により実際の感染被害の増加が抑制されていると考えられる。

　○コンピュータウイルス対策基準
　　・通商産業省告示第１３９号　平成２年４月１０日制定
　　・通商産業省告示第４２９号　平成７年７月　７日改訂
　　・通商産業省告示第５３５号　平成９年９月２４日改訂

　今月、届出のあったウイルスは３３種類であった。届出件数の多いウイルスは、VBS/LOVELETTERが３４６件、XM/Larouxが１０４件となっている。初めて届けられたウイルスは、ＶＢＳ/LOVELETTER、W97M/Eight941、W97M/Vmpck1、W97M/Verlor、X97M/Manaloの５種類（※印）である。
　(マクロウイルス、スクリプトウイルス７２３件、Windows、DOSウイルス１７７件）　

注）
　ウイルス名欄で、
　　XMは、MSexcel95、97で動作するウイルス。（ExcelMacroの略）
　　W97Mは、MSword97で動作するウイルス。（Word97Macroの略）
　　W97M/X97M/P97Mは、MSword97、MSexcel97、MSpowerpoint97で動作するウイルスを示す。
　　（Word97Macro/Excel97Macro/PowerPoint97Macroの略）
　　X97Mは、MSexcel97で動作するウイルス。（Excel97Macroの略）
　　WMは、MSword95で動作するウイルス。（WordMacroの略）
　　W32/は、Windows32ビット環境下で動作するウイルスを示す。
　　VBS/は、VisualBasicScriptで記述されているウイルスを示す。
　　Wscriptは、WindowsScriptingHost環境下（VBSを除く）で動作するウイルスを示す。

５月の届出の中で、検査発見・駆除修復に使われたウイルス対策ソフト及びベンダーを参考に示す。

３．届出の概要

（１）５月にＩＰＡに初めて届け出のあったウイルスの概要を記述する。

VBS/LOVELETTER（VisualBasicScript/LOVELETTER）
　このウイルスは、通常はメールの添付ファイルを介して拡がっていく。WSH（※)がインストールされている環境で、LOVE-LETTER-FOR-YOU.TXT.vbsというファイルを実行すると、WindowsのSystemフォルダに、Mskernel32.vbs、LOVE-LETTER-FOR-YOU.TXT.vbs、WindowsフォルダにWin32dll.vbsというファイル名で自分自身をコピーする。そして、これらのファイルが再起動時に実行されるようにレジストリを変更する。　次に、Outlookのアドレス帳に登録されているメールアドレス全てに対して、下記の内容のメールに、LOVE-LETTER-FOR-YOU.TXT.vbsというファイルを添付して送信する。
　Subject：I LOVE YOU．
　本文：kindly check the attached LOVELETTER coming from me．.
　またmIRCというIRCクライアントソフトがインストールされているかどうかを調べ、 mIRCがインストールされている場合はscript.iniファイルを書き換える。 以降、mIRCを起動してチャットを行うと、参加者に対して、LOVE-LETTER-FOR-YOU.HTMファイルを送信する。
　そして、ネットワークドライブを含むＡからＺまでのドライブを検索して、拡張子が、.vbs、.vbe、.js、.jse、.css、.wsh、.sct、.hta、.jpg、.jpeg、.mp3、.mp2のファイルを破壊する。
（※Windows Scripting Host）

W97M/Eight941（Word97Macro/Eight941）
　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
　ウイルスに感染した文書ファイルを読み込むとそのMSwordに感染する。感染したMSwordで作成、 編集した文書ファイルを閉じたときにそのファイルに感染する。
　７月１日または１１月１０日に、感染した文書ファイルを開くか、または感染したMSwordで文書ファイルを開くと、Ｃドライブにある全ての拡張子が.docのファイルの属性を以下のように変更する。
　｢ツール｣/「オプション｣［保存］タグの
　　　「バックアップファイルを作成する」→する
　　　「高速保存」→する
　　　「保存時にプロパティを確認する」→しない
　　　「標準設定を変更するかどうかを確認する」→しない
　　　「バックグラウンドで保存する」→する
　このウイルスは、日本語版MSword97/98/2000及び英語版MSword97/2000で感染・発病する。

W97M/Vmpck1 (Word97Macro/Vmpck1)
　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
　ウイルスに感染した文書ファイルを読み込むと、Ｃドライブのルートにxix.drvというファイルを作成し、ウイルスコードをコピーし、そのMSwordに感染する。感染したMSwordで作成、編集した文書ファイルを閉じたときにそのファイルに感染する。
　感染すると、「ツール」/「オプション」/［全般］タブの「マクロウイルスを自動検出する」、「文書を開くときにファイル形式を確認する」及び［保存］タブの「標準設定を変更するかどうか確認する」の項目をオフに設定する。
　このウイルスには２つの発病がある。
　１）感染した文書ファイルを開くか、または感染したMSwordで文書ファイルを開いたとき、100分の１の確率で、次のようなメッセージを表示する。
　　Dia　８　de　Novebro　VOTA　NAO　a　regionalizacao!
　２）毎月８日に感染した文書ファイルを開くか、または感染したMSwordで文書ファイルを開いたとき、文書中の「sim」という単語を「nao　a　regionalizacao!」に置換する。
　このウイルスは、日本語版MSword97/98/2000及び英語版MSword97/2000で感染・発病する。

W97M/Verlor (Word97Macro/Verlor)
　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
　ウイルスに感染した文書ファイルを読み込むとそのMSwordに感染する。感染したMSwordで作成、編集した文書ファイルを閉じたときにそのファイルに感染する。
感染すると、「ツール」/「オプション」/［全般］タブの「マクロウイルスを自動検出する」、「文書を開くときにファイル形式を確認する」及び［保存］タブの「標準設定を変更するかどうか確認する」の項目をオフに設定する。
　発病機能はない。
　このウイルスは、日本語版MSword97/98/2000及び英語版MSword97/2000で感染する。

X97M/Manalo (Excel97Macro/Manalo)
　このウイルスは、マイクロソフト社のExcel（以下MSexcel）を介して感染するウイルスである。
　ウイルスに感染したデータファイルを読み込むと、XLStartフォルダに、「C B I.XLS」というウイルスに感染したファイルを作成し、そのMSexcelに感染する。 以降感染したMSexcelで作成、編集したデータファイルを閉じるときにそのファイルに感染する。
　感染すると、ファイルには、INC、85Yearsという非表示のワークシートが作成される。
　このウイルスは、日本語版MSexcel97/2000及び英語版MSexcel97/2000で感染する。

（２）届出の届出者別件数は次のとおりである。一番多い届出は、一般法人ユーザからのもので、約９５％を占めている。

（３）届出の地域別件数は次のとおりである。関東地方が最も多く、続いて中部地方、近畿地方の順となっている。

（４）届出から感染経路を区分けすると次の表のようになる。海外からのメールも含めたメールにより感染したケースが最も多く、大部分を占めており、不明を除いた届出件数の約９６％を占めている。

（５）届出のあったウイルスが感染させたパソコンの台数は次のとおりである。感染台数の欄０台は、ＦＤのみの感染またはファイルのみの感染を示し、事前の検査により、パソコンに感染する前にウイルスを発見したものである。

特定日発病ウイルスについて

　ウイルスの被害の拡大を防止する意味から、今回は、ＩＰＡに届出されたウイルスの中で、６月７日〜７月３１日に発病する可能性がある主なウイルスを下記に掲げた。（参考：特定日発病ウイルス［ウイルスカレンダー］ ）
　発病してからではデータを破壊される等修復が困難となるので市販のワクチンソフト等を用いて、発病する前に発見・駆除することを望む。（駆除方法についてはＩＰＡまで）

（１）W97M/Opey(Word97Macro/Opey）

　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
　ウイルスに感染した文書ファイルを開くと、そのMSwordに感染し、 さらにMSwordのメニューの｢ツール｣/｢オプション｣/ユーザー情報タブの
　名前を　　　「OPEY.A」
　頭文字を　 「LOVE」
　住所を　　　「CNNHS B'92 PHILIPPINES(CNSC)」
に変更する。
　特定日に下記の操作を行うと発病し、Autoexec.batにフィリピンの記念日などに関するメッセージを書き込む。
　・感染した文書ファイルを開いたとき。
　・感染したMSwordで次の操作を行ったとき。
　　　MSwordを起動及び終了したとき。
　　　文書ファイルを作成、開く、印刷、保存、閉じたとき。
　　　文書ファイルのページ設定を変更したとき。
　特定日と書き込まれるメッセージは次のとおり。

（２）W32/CIH

　このウイルスは常駐型でWindows95/98の32ビット実行形式ファイルに感染するファイル感染型ウイルスである。
　感染したファイルを実行すると、メモリに常駐し、プログラムの実行、ファイルのコ ピー等でオープンしたプログラムファイルに感染する。発病するとハードディスクの先 頭部分を無意味なデータで上書きするため、ディスク内容にアクセスできなくなる。
　また、コンピュータが使用しているチップセットが、インテル４３０ＴＸかその互換 チップの場合には、BIOS ROMのブートブロックに無意味なデータを上書きして、内容を破壊する。
　このウイルスには、４月２６日発病、６月２６日発病等の種類がある。

　　参考：W32/CIHに関する情報

問い合わせ先：

　

IPA（情報処理振興事業協会）セキュリティセンターウイルス対策室

TEL 03-5978-7508　FAX　03-5978-7518　E-mail　virus@ipa.go.jp