Melissa Virus, 新型の脅威

David L. Smith



New Jersey 州に住む３１歳のプログラマ
４月１日にNJ州警察が逮捕
$100,000 の保釈金を払って保釈中
– 第２級公衆通信妨害
– 第３級コンピュータサービスへの窃盗
– コンピュータシステムへの違法アクセス


無罪を主張中
$480,000 の罰金と４０年間の禁固刑か
Melissa Virus, 新型の脅威
Article from “COMPUTER" -- IEEE
magazine
Melissa
– 1999年３月２６日２時ころ
– 電子メールによる伝染
• Subject: Important Message From <name>
• Text: (content-type: text/plain)
Here is that document you asked for …
don’t show anyone else ;-)
• 添付文書 (content-type: application/msword)
list.doc ポルノWEBサイト名前とパスワードの表


ユーザがWord97/2000で文書を開くと，
macro enable であればmacro virus が実
行される．
– Macro security の設定を「今後はすべて許
可」にする．
– Registry key “Melissa?” にある文字列がセッ
トされているか． “… by Kwyjibo”
– Yes ユーザのアドレス帖の最初の５０の宛先
に元と同じメールを送る．（伝染）
（Microsoft Outlook がインストールされていること）
– Registry key に “… by Kwyjibo” を書く．

Normal.dot (template file) に感染．
– 以後はWordで作られるすべての文書が感染
を受ける．
• Patch をしてないWordはテンプレートのマクロは
警告なしで実行（信用）

現在時刻の分数が日付の日数と一致すれ
ば、
“Twenty-two points, plus … Game:s over,…”
の文字列を文書に挿入する．


Macro disable で文書を見ても、macro
list には現れない．
Visual Basic Applications (VBA) で書か
れている．(“document.open” method)
– Visual Basic Editor で見ることができる．

感染者は伝染させていることを知らない．
どんな影響があるか．


Normal.dot の感染経路で重要文書が汚
染されると、それを開いた人は知らずにア
ドレス帖の５０宛先へ送信させられてしまう．
DOS (denial of service) メールサーバの
停止
対策



Sendmail patch
virus scanning tools
macro disable
– Tool/Options/General Macro virus
protecton を on にする．
Http://www.nai.com/services/support/vr/
free.asp
CERT (computer emergency response
team: CMU) からの情報
その後

翌日には変種が出された．
– Papa, Mad Cow, Marauder, Syndicate
– Papa e.g.
• Excel に感染し，６０宛先にコピーを送る．
• Melissa のantivirusで広がらなかった．

De Pont, Honeywell, Intel, Lockheed,
Lucernt Tech., Microsoft, US Marine
Virus




Melissa
CHI/Chernobyl
Happy99
Explorezip
対策情報

http://marahute.cc.uec.ac.jp/UECNIC/
の下にあるJP-CERT, CERT/CC および
伊藤からnet-wg に forward される
security 情報を見よ．
CERT: computer emergency response
team:

Download Report