David L. Smith



New Jersey 州に住む31歳のプログラマ
4月1日にNJ州警察が逮捕
$100,000 の保釈金を払って保釈中
– 第2級公衆通信妨害
– 第3級コンピュータサービスへの窃盗
– コンピュータシステムへの違法アクセス


無罪を主張中
$480,000 の罰金と40年間の禁固刑か
Melissa Virus, 新型の脅威
Article from “COMPUTER" -- IEEE
magazine
Melissa
– 1999年3月26日2時ころ
– 電子メールによる伝染
• Subject: Important Message From <name>
• Text: (content-type: text/plain)
Here is that document you asked for …
don’t show anyone else ;-)
• 添付文書 (content-type: application/msword)
list.doc ポルノWEBサイト 名前とパスワードの表


ユーザがWord97/2000で文書を開くと,
macro enable であればmacro virus が実
行される.
– Macro security の設定を「今後はすべて許
可」にする.
– Registry key “Melissa?” にある文字列がセッ
トされているか. “… by Kwyjibo”
– Yes ユーザのアドレス帖の最初の50の宛先
に元と同じメールを送る.(伝染)
(Microsoft Outlook がインストールされていること)
– Registry key に “… by Kwyjibo” を書く.

Normal.dot (template file) に感染.
– 以後はWordで作られるすべての文書が感染
を受ける.
• Patch をしてないWordはテンプレートのマクロは
警告なしで実行(信用)

現在時刻の分数が日付の日数と一致すれ
ば、
“Twenty-two points, plus … Game:s over,…”
の文字列を文書に挿入する.


Macro disable で文書を見ても、macro
list には現れない.
Visual Basic Applications (VBA) で書か
れている.(“document.open” method)
– Visual Basic Editor で見ることができる.

感染者は伝染させていることを知らない.
どんな影響があるか.


Normal.dot の感染経路で重要文書が汚
染されると、それを開いた人は知らずにア
ドレス帖の50宛先へ送信させられてしまう.
DOS (denial of service) メールサーバの
停止
対策



Sendmail patch
virus scanning tools
macro disable
– Tool/Options/General Macro virus
protecton を on にする.
Http://www.nai.com/services/support/vr/
free.asp
CERT (computer emergency response
team: CMU) からの情報
その後

翌日には変種が出された.
– Papa, Mad Cow, Marauder, Syndicate
– Papa e.g.
• Excel に感染し,60宛先にコピーを送る.
• Melissa のantivirusで広がらなかった.

De Pont, Honeywell, Intel, Lockheed,
Lucernt Tech., Microsoft, US Marine
Virus




Melissa
CHI/Chernobyl
Happy99
Explorezip
対策情報

http://marahute.cc.uec.ac.jp/UECNIC/
の下にあるJP-CERT, CERT/CC および
伊藤からnet-wg に forward される
security 情報を見よ.
CERT: computer emergency response
team:
ダウンロード

Melissa Virus, 新型の脅威