「愉快犯」系もまだまだ健在! 最近の愉快犯あれこれ

ウイルス作者の目的が利益追求・金銭目的に変化していると言われて久しいですが、まだまだ愉快犯的な不正プログラムも多く登場しています。ここでは最近確認された愉快犯的ウイルスを紹介します。

  • しゃべるウイルス:
    7月6日に確認された「TROJ_BOTVOICE.A」はユーザに感染を声でお知らせします。このトロイの木馬は実行時にWindowsの音声合成機能を利用して以下の文章を読みあげます:

    You has been infected, I repeat you has been infected and your system files has been deletes. Sorry. Have a nice day and bye bye.
    (日本語訳: あなたは感染しました。もう1度言いますが、あなたは感染し、システムファイルが削除されました。お気の毒です。良い1日を。バイバイ)

    また、タスクマネージャーやレジストリエディタを無効化したり、特定の拡張子のファイルオープンを妨げる、C:ドライブ内のファイルを削除するなどの破壊活動も行います。

  • 電卓用ウイルス:
    6月はじめに確認された「TROJ_GAARA.A」はテキサスインストゥルメンツ社製の関数電卓 TI-89 上でのみ活動するウイルスです。一般のPCでは活動しません。TI-89用プログラムファイルに自身のコードを追加して感染します。活動後は条件によって表示をクリアし、「t89.GAARA」という文字列を表示します。単体で考えれば単に電卓上で活動するウイルスと言うだけの話ですが、プログラムが実行できる電子機器すべてにウイルスの危険があることを証明したもの、という見方もあるようです。
  • ハリーポッター好き(嫌い?)のウイルス:7月1日に確認された「WORM_HAIRY.A」はUSBメモリなどのリムーバブルドライブ経由で自身を頒布するワームです。実行されると以下のシステム変更を行います:
    1. Internet Explorer のタイトルを「JK Rowling Owns You」に変更(JK Rowling はハリーポッターの作者)
    2. Internet Explorer のホームページを Amazon.com でハリーポッターのパロディ本の販売ページに設定
    3. 「Harry Potter is dead.」という文字列を含むドキュメントファイルを作成
    4. システムの使用者を「Harry Potter」などに変更
    5. システム起動時に毎回コマンドプロンプト画面でメッセージを表示

    以下は「WORM_HAIRY.A」が行う改変の表示例です:

1.、2. IEのタイトルとホームページの改変
WORM_HAIRY.A

4. 使用者情報などの改変
WORM_HAIRY.A

5. システム起動時に表示されるコマンドプロンプト画面
startup.bmp 

ちなみにハリーポッター関連では、以下のような「TROJ_DLOADER.NKY」をインストールさせる目的のスパムメールがイタリアで6月下旬に確認されています。ウイルスに狙われるほど人気がある、と言うことでしょうか。

※メールサンプル例:
Harry_Potter.JPG