１９９９年７月６日
情報処理振興事業協会

コンピュータウイルス被害の届出状況について

１．はじめに

（１）１９９９年６月ウイルス被害届出状況
　情報処理振興事業協会（略称ＩＰＡ・石井賢吾理事長）は、'99年６月のコンピュータ ウイルス被害の届出状況をまとめた。

（２）今月の特記事項

（ａ）Ｗ３２／ＥｘｐｌｏｒｅＺｉｐについて

　電子メールを受け取ると、自分自身を添付した返信メールを出してしまう本ウイルスが、今月初めて届出された。届出件数は６件と少なかったが、ネットワーク上で共有していた約5000のファイルが破壊された届出があった。
　本ウイルスは、ネットワーク上の１台のマシンが感染すると、ネットワーク上で共有している他のマシンにも被害を与えることがあるので注意されたい。本ウイルスや、「W32/Ska」「W97M/Melissa」のように電子メールを悪用したウイルスが急増している。　友人、知人、職場の同僚から送られてきた電子メールであっても、添付ファイルは、必ず最新のワクチンソフトでウイルス検査を行ってから、開いたり、実行するようにされたい。
　ＩＰＡのWebサイトに本ウイルスの情報を掲載しているので、参照の上、対策を講じられたい。

（ｂ）１９９９年（１月〜６月）被害届出状況

   １９９９年１月から６月までの半年間の被害届出件数は１９３６件で、既に１９９８年一年間とほぼ同数の件数となっている。１９９９年１月から６月の届出状況を前年（１９９８年）のデータを併記して［参考資料］「１９９９年（１〜６月）ウイルス被害届出状況｣に記述したので参照されたい。
　

（３）ウイルス被害届出制度

　コンピュータウイルスの届出制度は、通商産業省のコンピュータウイルス対策基準（'90年４月10日付通商産業省告示第139号、'95年７月７日改訂通商産業省告示第429号、'97年９月24日改訂通商産業省告示第535号）に基づき、'90年4月にスタートした制度であって、コンピュータウイルスを発見したものは被害の拡大と再発を防ぐために必要な情報をＩＰＡに届け出ることとされている。

２．届出の概要

（１）今までの届出状況
　届出件数は、'90年4月通商産業省が告示した「コンピュータウイルス対策基準」に基づいて、ＩＰＡが被害の届出機関に指定されてから受理した届出の件数である。今までの届出件数は１０１３３件となる。次に示すグラフは、 '97年１月から'99年６月までの被害届出件数の月別推移を表したものである。

注記）'90年(4月〜12月)、'91年、'92年、'93年、'94年、'95年、'96年の届出件数はそれぞれ 14件、57件、253件、897件、1127件、668件、755件である。

（２）'99年６月の届出状況
　６月のコンピュータウイルスの被害届出は３８５件であった。この中で被害台数の多かった届出は、パソコン１２０台にW32/CIHが感染したケースが１件あった。これは、古いワクチンソフトを使用していて、ウイルスを発見することができなかったため、 感染被害が拡がったケースである。

６月の被害届出の詳細は次の通りである。

（ａ）今月、届出のあったウイルスは２８種類であった。届出件数の多いウイルスは、W32/Skaが１２０件となっている。
　初めて届けられたウイルスは、W97M/ColdApe、W97M/Pri、W97M/Footer、W97M/X97M/Jerk、W32/ExploreZip（＊印）の５種類である。
　（マクロウイルス231件、従来型158件、１件で複数のウイルス感染届出があるため、合計は届出件数の件に合致しない。）

注）
１．ウイルス名欄で、XMはExcelMacro、W97MはWord97Macro、WMはWordMacro、W97M/X97M/P97Mは、Word97Macro/Excel97Macro/PowerPoint97Macro、W97M/X97Mは、Word97Macro/Excel97Macroの略である。
２．W32/は、Windows32ビット実行形式ファイルを感染対象とするウイルスを示す。
３．感染した機種欄の印は、●感染有り、−感染無しである。
４．.検査発見及び駆除修復に使われたウイルス対策ソフトを、下記に示す。
　※印は、Macintosh機のウイルス対策ソフトを示す。

今回、ＩＰＡに初めて届出があったウイルスを簡単に説明する。

「W97M/ColdApe」（Word97Macro/ColdApe）

　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
ウイルスに感染した文書ファイルを開くと、標準テンプレートのNormal.dotに感染する。また、WSＨ（※)がインストールされている場合、Ｃドライブのルートフォルダに「happy.vbs」、「ａ４．vbs」、 　Windowsがインストールされているフォルダに、「avm.vbs」というファイルを作成する。そして、次のフォルダーにある全てのVBScriptファイル（拡張子がvbs）に感染する。
　　c:\
　　c:\Windows
　　c:\Windows\Desktop
　　c:\My Documents
　　c:\Startup
　Normal.dotに感染したMSwordで作成、更新した文書ファイルを保存・閉じたときに、そのファイルに感染する。
MSword及びマイクロソフト社のOutlookと、WSHがインストールされている環境で、感染していないMSwordで、 ウイルスに感染した文書ファイルを開いたとき発病し、Outlookを利用して、Anti-Virus 関係者のアドレス（２ヶ所） にメールを送信する。また、このとき、ウイルスは発病した日付を記録する。その後、 その発病日付が現在の日付より小さい場合に、下記の操作を行うと、発病してメール送信を行い、発病日付を更新する。
　・感染した文書ファイルを開いたとき。
　・Normal.dotに感染したMSwordで作成、編集した文書ファイルを保存または閉じたとき。
　このウイルスは日本語版MSword97/98、英語版MSword97感染・発病する。
　（※Windows Scripting Host）

「W97M/Pri」（Word97Macro/Pri）

　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
　感染した文書ファイルを開くと、標準テンプレート（Normal.dot）に感染する。
Normal.dotに感染したMSwordで、作成、更新した文書ファイルを閉じたときに、そのファイルに感染する。
　感染すると、
　「ツール」／「オプション」／「全般」タブの「マクロウイルスを自動検出する」、 　「文書を開くときにファイル形式を確認する」と「保存」タブの「標準設定を変更するかどうかを確認する」 　のチェックボックスをオフに設定する。また、ビジュアルベーシックエディタを起動すると、ワードが強制終了される。
　マシンの日付の「日」と時刻の「分」が一致しているときに、次の操作を行うと発病し、様々な色と形の図形を文書内に書き込む。
　・感染した文書ファイルを開いたとき。
　・Normal.dotに感染したMSwordで、作成、更新した文書ファイルを閉じたとき。
　このウイルスは、日本語版MSword97/98、英語版MSword97で感染・発病する。

｢W97M/Footer｣（Word97Macro/Footer）

　このウイルスは、マイクロソフト社のWord（以下MSword）を介して感染するウイルスである。
　ウイルスに感染した文書ファイルを開くと、Ｃドライブのルートに「footprint.$$$」、「footprint.$$1」の２つのファイルを作成し、このファイルにウイルスコードをコピーする。そして、 　標準テンプレート（Normal.dot）に感染する。
Normal.dotに感染したMSwordで文書ファイルを開いたときに、「footprint..$$$」、「footprint.$$1」 のウイルスコードをとりこんで、そのファイルにウイルスを感染させる。また、ファイルのプロパティを変更し、 「FootPrint１｣という項目を追加し、値をありに設定する。このため、ファイルを印刷するとフッターが印刷される。
　このウイルスは日本語版MSword97/98、英語版MSword97感染・発病する。

｢W97M/X97M/Jerk｣（Word97Macro/Excel97Macro/Jerk｣

　このウイルスは、マイクロソフト社のWord（以下MSword）、Excel（以下MSexcel）を介して感染するウイルスである。
　・MSwordでの感染
　ウイルス感染したMSwordの文書ファイルを開いて閉じたときに、標準テンプレート（Normal.dot）に感染する。このとき、 　MSexcelが起動していれば、開いているすべてのMSexcelデータファイルに感染する。また、MSexcelの 　「ツール」/「オプション」/「全般タブ」の「マクロウイルスから保護する」のチェックボックスをオフに設定する。
　Normal.dot に感染したMSwordで作成、更新したMSwordの文書ファイルを閉じるときに、そのファイルに感染する。
　・MSexcelでの感染
　感染したMSexcelのデータファイルを開いて、そのファイルが非選択になったときにウイルスは動作し、開いているMSexcelのデータファイルがあれば、全てのファイルに感染する。
　また、感染したMSexcelのデータlファイルを開いている時に、他のMSexcelのデータファイルを開くと、そのファイルに感染する。
　さらに、MSwordが起動していれば、ウイルスはNormal.dotの感染の有無をチェックして、未感染であれば、ウイルスを感染させる。
　６月以降の１４日に、
感染したMSwordの文書ファイルを閉じたとき、または、感染したMSwordで作成、更新したMSwordの文書ファイルを閉じたときに発病し、下記のような内容のダイアログを「Class.Poppy」というタイトルで表示する。
　　I think "アプリケーションに登録されたユーザ名" is a big stupid jerk!
　このウイルスは、日本語版MSword97/98、英語版MSword97で感染・発病、日本語版、英語版MSexcel97で感染する。

「W32/ExploreZip｣

　W32/ExploreZipはワームの一種である。
　"zipped_files.exe "というファイルを実行すると、 "Cannot　Open　file・・・" という偽のエラーメッセージを表示し、実行されたマシンの全てのハードディスクを検索して、 次の拡張子のファイルのサイズを０にする。（隠しファイル、読み取り専用のファイルは破壊されない。）
　 「.doc」「.xls」「.ppt」「.asm」｢.ｃ｣｢.cpp」「.h」
　次に、Windowsが再起動するたびに、ウイルスが実行されるように環境を設定する。
　そして、当該マシンとネットワーク上に共有されている全てのマシンを検索し、上記７種類の拡張子のサイズを０にする。
　さらに、ネットワーク上にwin.iniファイルが共有されているマシンがある場合、win.iniと同じディレクトリに"_setup.exe" 　というファイルを作成し、Windowsを起動した時に、"_setup.exe"が実行されるように、 WIN.INIファイルを書き換える。
インストールされているメーラーによっては、感染以降、受け取ったメールに対して、下記の本文メッセージのメールに、 "zipped_files.exe"ファイルを添付して返信する。

　返信メール本文
  Hi！
  I　received　your　E-Mail　and　I　shall　send　you　a　reply　ASAP．
  Till　then，take　a　look　at　the　attached　zipped　docs.
  Bye

（ｂ）届出の感染機種別件数は次のとおりである。一番多い届出は、ＩＢＭ及びその互換機で、 ＦＤのみの感染及びファイルのみの感染を除く約８７％の割合を占めている。

注）
１．複数機種感染の届出を含む。
２．ＦＤのみの感染及びファイルのみの感染が223件あったが、表からは除外する。
３．各社IBM互換機には、NEC PC-98NXシリーズを含む。

（ｃ）届出の届出者別件数は次のとおりである。一番多い届出は、一般法人ユーザからのもので、 約８０％の割合を占めている。

（ｄ）届出の地域別件数は次のとおりである。関東地方が最も多く、続いて近畿地方、中部地方の順となっている。

（ｅ）被害届出から感染経路を区分けすると次の表のようになる。メールにより感染したケースが最も多く、 不明を除く７５％の割合を占めている。

（ｆ）届出のあったウイルスが感染させたパソコンの台数は次のとおりである。感染台数の欄０台は、ＦＤのみの感染またはファイルのみの感染を示し、事前の検査により、パソコンに感染する前にウイルスを発見したものである。

特定日発病ウイルスについて

　ウイルスの被害の拡大を防止する意味から、今回は、ＩＰＡに届け出されたウイルスの中で、７月７日〜８月３１日に発病する可能性がある主なウイルスを下記に掲げた。
　発病してからではデータを破壊される等修復が困難となるので市販のワクチンソフト等を用いて、発病する前に発見・駆除することを望む。（駆除方法についてはＩＰＡまで）

以上

問い合わせ先：

IPA（情報処理振興事業協会）セキュリティセンターウイルス対策室

TEL 03-5978-7508　FAX　03-5978-7518　E-mail　virus@ipa.go.jp