検出した場合の対処方法

主にメール受信中(POP3経由)に受け取ろうとしたメールの添付ファイルに対して検出されますので、安全のため添付ファイルのみではなく、受け取ったメール自身は削除してください。

解説での表記(用語)について

以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir% と表記しており、インストール時の設定により異なる場合があります。%windir% のサブディレクトリである"System"や"System32"は %system% と表記しています。

解説

■侵入(インストレーション)について

Win32/Nuwar.A ワームが実行されると、ワームは次のファイル名を使って自分自身を %system% へコピーし、適当な名前でドロップします。そのファイルのサイズは、5707バイトです。

ワームは、システムが開始される毎に実行できるよう、次のレジストリを登録します。

■電子メール経由の拡散について

ワームはさらに拡散するために、電子メールアドレスを取得する手段として、次の拡張子のうちの1つのローカルファイルで捜す行動をとります。

次の文字列を含むアドレスは避けます。

電子メールの送信先(Sender)は、次の文字列のいくつかが使用されます。

電子メールの件名(Subject)は、次のうちの1つです。

電子メールの本文(Body)は、次のうちの1つです。

添付ファイルはワームの実行形式ファイルで、ファイル名は次のうちのいずれかです。

■実行ファイルの感染

ワームは、次の拡張子を持つ実行可能なファイルを探します。

感染ファイルの選定は、いくつかのほかの基準が適用されます。ファイルに感染する時、ワームは実行可能なファイルをコピーします。そのコピーの名前は適当に付けられます。ホストファイルはオリジナルのコードを走らせる前に、ワームを実行する方法に変更されます。

挿入されたコードの長さは155バイトで、ファイルの全体の長さは変わりません。

■その他の情報

次のアプリケーションが停止されます。

ワームは、インターネットからファイルのダウンロードを試みます。そのファイルは実行されます。