ポップ界のキング、マイケル・ジャクソン（Michael Joseph Jackson）のショッキングな急死が報じられて間もなく、トレンドマイクロのシニアウイルス解析者Loucif Kharouniは、この話題に便乗した不正なリンクがWindows Live メッセンジャー / MSN メッセンジャー（以下 Messenger）にスピム（無差別に送信される迷惑メッセージ）として送信されていることを確認しました。このリンクは、マイケル・ジャクソンが息を引き取る直前の、病院での最期の瞬間に関する情報にリンクするようにと見せかけていました。以下は、不正なリンクを含む複数のテンプレートメッセージが表示されたMessengerにおける、会話ウインドウのスクリーンショットです。

図1 不正なリンクを含むメッセージが表示された会話ウインドウのスクリーンショット

　このような迷惑メッセージを受け取ったユーザがいずれかのリンクをクリックすると、画像サイトまたはギャラリーに導かれる代わりに “PIC-IMG029-www.hi5.com.exe” という名称のファイル（MD5ハッシュ値：「031429fc14151f94c8651a3fb110c19b」を含む）をコンピュータ上に保存するように促されます。第一段階の解析では、このファイルは、SDBOTのファミリであることが確認されています。

2009年6月27日時点での追加情報：

　ボットネットは、IRCを介して、上記の不正リンクのテンプレートメッセージをクライアントに送信しスピム活動を行っているようです。以下は、ボットネット活動の一例を示すスクリーンショットです。

図2 ボットネット活動のスクリーンショット

　今回の攻撃を引き起こす不正プログラムは、トレンドマイクロの製品では「WORM_IRCBOT.GAT」として検出されます。この不正プログラムは、感染したコンピュータ上で特定のポートを開き、リモートのコマンドを受信します。Kharouniは、特定のファイルをダウンロードするコマンドを確認し、これらのファイルは感染したコンピュータ上で実行されると報告しています。この不正活動により、結果として、「PUSHDO」の亜種がダウンロードされることになります。「PUSHDO」は、大量のスパムメール送信活動を引き起こすボットネットです。「PUSHDO」に関する詳細は、以下をご参照ください。