１９９９年３月５日
情報処理振興事業協会

コンピュータウイルス被害の届出状況について

１．はじめに

（１）１９９９年２月ウイルス被害届出
　情報処理振興事業協会（略称ＩＰＡ・石井賢吾理事長）は、'99年２月のコンピュータ ウイルス被害の届出状況をまとめた。

（２）W32/Skaについて
　初めてＩＰＡに届出があった「W32/Ska」の感染被害が拡がっている。
　200件を越える相談、問い合わせがあり、２月の届出件数は７４件にのぼった。

　W32/Ska はトロイの木馬の一種である。このウイルスは、通常、電子メールやニュースグループ上の添付ファイルとして拡がっていく。
　電子メールの場合、他の自分宛のメールと同じタイミングで、メール本文が空で Happy99.exeというファイルだけが添付されたメールが届く（この現象から Happy99という名称でも呼ばれている）。送り主は大抵の場合、直前にメールを送ってきた人物と同一である。

　Windows95/98のユーザが、このファイルを実行すると 「Happy New Year 1999」というタイトルの花火の画像が表示され、感染被害に遭う。以降このユーザーが、電子メール（またはニュース）を送ると、そのメッセージと同じ宛て先、同じ件名のメールをコピーして、 Happy99.exeを添付して送信する。

　知り合いから届いたメールでも、 Happy99.exeという添付ファイルが有る場合は、実行することなく、削除すること。また、当該の感染メールを送ってきた相手が気づいていない場合が多いので送信者にはウイルス感染の可能性がある旨連絡されたい。
　W32/Skaの概要、感染確認方法、修復方法はＩＰＡのWebに掲載の情報を参照されたい。

（３）ウイルス被害届出制度
　コンピュータウイルスの届出制度は、通商産業省のコンピュータウイルス対策基準（'90年４月10日付通商産業省告示第139号、'95年７月７日改訂通商産業省告示第429号、'97年９月24日改訂通商産業省告示第535号）に基づき、'90年4月にスタートした制度であって、コンピュータウイルスを発見したものは被害の拡大と再発を防ぐために必要な情報をＩＰＡに届け出ることとされている。

２．届出の概要

（１）今までの届出状況
　届出件数は、'90年4月通商産業省が告示した「コンピュータウイルス対策基準」に基づいて、ＩＰＡが被害の届出機関に指定されてから受理した届出の件数である。今までの届出件数は８６４６件となる。次に示すグラフは、 '97年１月から'99年２月までの被害届出件数の月別推移を表したものである。

注記）'90年(4月〜12月)、'91年、'92年、'93年、'94年、'95年、'96年の届出件数はそれぞれ 14件、57件、253件、897件、1127件、668件、755件である。

（２）'99年２月の届出状況
　２月のコンピュータウイルスの被害届出は 251件であった。この中で最も被害台数の多かった届出は、パソコン80台に W32/CIHが感染していたケースであった。 　

２月の被害届出の詳細は次の通りである。

（ａ）今月、届出のあったウイルスは21種類であった。届出件数の多いウイルスはマクロウイルスのXM/Larouxが85件となっている。
　初めて届けられたウイルスは、(*印)のW32/Ska、W97M/Nono、W97M/X97M/Shiverの３種類である。
（マクロウイルス127件、従来型126件、１件で複数のウイルス感染届出があるため、合計は届出件数の251件に合致しない。）

注）
1.ウイルス名欄で、XMはExcelMacro、WMはWordMacro、W97MはWord97Macro、W97M/X97MはWord97Macro/Excel97Macro、XFはExcelFormulaの略である。
2.W32/は、Windows32ビット実行形式ファイルを感染対象とするウイルスを示す。
3.感染した機種欄の印は、●感染有り、−感染無しである。
4.検査発見及び駆除修復に使われたウイルス対策ソフトを、下記に示す。
　※印は、Macintosh機のウイルス対策ソフトを示す。

今回、ＩＰＡに初めて届出があったウイルスを簡単に説明する。 　

「W32/Ska」（W32/Ska）
　W32/SkaはHappy99とも言われ、トロイの木馬の一種である。 　このウイルスは、通常、電子メールやニュースグループ上の添付ファイルとして拡がっていく。
　電子メールの場合、他の自分宛のメールと同じタイミングでHappy99.exeというファイルだけが添付されたメールが届く。 送り主は大抵の場合、直前にメールを送ってきた人物と同一である。
　Windows95/98のユーザが、このファイルを実行すると「Happy New Year 1999」というタイトルの花火の画像が表示される。
W32/SkaはSKA.EXEとSKA.DLLという名前のファイルをWindowsのsystemフォルダに作成し、Windows が元から備えているWSOCK32.DLL ファイルをWSOCK32.SKAという名前でバックアップした後、このWSOCK32.DLLの一部を書き換える。
WSOCK32.DLLが書き換えられたコンピュータでインターネット接続し、電子メール（またはニュース）を送ると、W32/Skaは、 そのメッセージと同じ宛て先、同じ件名のメールをコピーして、 Happy99.exeを添付して送信する。 メーラーを利用してメールを作成していないので、メーラーに履歴が残ることはない。
　また、Happy99.exe の添付されたメールの本文は空である。
　 　

「W97M/Nono」（Word97Macro/Nono）
　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウ イルスである。
　感染したファイルを開くとそのMSwordに感染する。
　ルートディレクトリにユーザー情報の頭文字 （メニューの「ツール」/「オプ ション」/ユーザー情報/頭文字）に表示されている文字列のファイルを作成し、 このファイルにウイルスをコピーする。このファイルによって文書ファイルへの 感染が文書を閉じるときに行われる。
「ツール」/「オプション」/「全般」タブの項目の［マクロウイルスを自動検出する］のチェックボックスをオフに設定し、 ウイルスの自動検出をさせなくする。更に「ツール」/「マクロ」のVisual Basic Editorを使えなくする。 感染は同一文書に何回でも重複して行われるので、ファイルが次第に肥大化し ていく。
　このウイルスは、MSword97の日本語版・英語版共に感染・発病する。

「W97M/X97M/Shiver」（Word97Macro/Excel97Macro/Shiver）
　このウイルスは、マイクロソフト社のWord（以下MSword）、Excel（以下MSexcel）を介して感染するウイルスである。
●MSwordでの感染
　ウイルスに感染したファイルを開くと、Ｃドライブに"shiver.sys"というファ イルを作成し、このファイルにウイルスをコピーする。そしてNormal.dotの感染 の有無を調べて、未感染だった場合は"shiver.sys"ファイルをNormal.dotにコピ ーして感染する。

(1)発病
　「ツール」/「テンプレートとアドイン」及び「ツール」/「マクロ」/のVisual Basic Editorを使えなくする。更に、メニューの「ツール」/「オプション」/［全般］タブの項目の［マクロウイルスを自動検出する］と、［文書を開くときに ファイル形式を確認する］のチェックボックスをオフに設定する。
(2)MSexcelへの感染
　ウイルス感染したNormal.dotはワードの終了時、実行中のエクセルが存在する かどうかを調べ、なければエクセルを起動させ、XLStartフォルダーにPersonal.xls というファイルを作成して、このファイルにウイルスをコピーする。

●MSexcelでの感染
　ウイルスに感染したファイルを開くと、Ｃドライブに"shiver.sys"というファ イルを作成し、このファイルにウイルスをコピーする。そして、 XLStartフォルダーにPersonal.xlsというファイルを作成して、このファイルに"shiver.sys"フ ァイルをコピーして感染する。

(1)発病
　８００分の１の確率で、"A1"から"L30" の範囲の３０個のセルに対してランダムに "Shiver[DDE] by ALT-F11" というコメントを付ける。
(2)MSwordへの感染
　ウイルス汚染したエクセルはその終了時、実行中のワードが存在するかどうかを調べ、なければワードを起動する。そしてＣドライブのルートフォルダにある"shiver.sys" をNormal.dotにコピーして感染する。

　このウイルスは、MSword97、MSexcel97の両方で、感染・発病する。

（ｂ）届出の感染機種別件数は次のとおりである。一番多い届出は、ＩＢＭ及びその互換機で、 ＦＤのみの感染及びファイルのみの感染を除く約77％の割合を占めている。

注）
１．複数機種感染の届出を含む。
２．ＦＤのみの感染及びファイルのみの感染が66件有ったが、表からは除外する。
３．各社IBM互換機には、NEC PC-98NXシリーズを含む。

（ｃ）届出の届出者別件数は次のとおりである。一番多い届出は、一般法人ユーザからのもので、 約77％の割合を占めている。

（ｄ）届出の地域別件数は次のとおりである。関東地方が最も多く、続いて近畿地方、中国地方の順となっている。

（ｅ）被害届出から感染経路を区分けすると次の表のようになる。

（ｆ）届出のあったウイルスが感染させたパソコンの台数は次のとおりである。感染台数の欄０台は、ＦＤのみの感染またはファイルのみの感染を示し、事前の検査により、パソコンに感染する前にウイルスを発見したものである。

特定日発病ウイルスについて

　ウイルスの被害の拡大を防止する意味から、今回は、ＩＰＡに届け出されたウイルスの中で、 ３月６日〜４月３０日に発病する可能性がある主なウイルスを下記に掲げた。
　発病してからではデータを破壊される等修復が困難となるので市販のワクチンソフト等を用いて、発病する前に発見・駆除することを望む。（駆除方法についてはＩＰＡまで）

以上

問い合わせ先：

IPA（情報処理振興事業協会）セキュリティセンターウイルス対策室

TEL 03-5978-7508　FAX　03-5978-7518　E-mail　virus@ipa.go.jp