検出した場合の対処方法

主にメール受信中(POP3経由)に受け取ろうとしたメールの添付ファイルに対して検出されますので、安全のため添付ファイルのみではなく、受け取ったメール自身は削除してください。

また、このワームはシステムの脆弱さを利用するタイプですので、Microsoft Update(Windows Update)を必ず実施してください。

解説での表記(用語)について

以下の説明文では、Windowsオペレーティングシステムがインストールされたディレクトリを%windir% と表記しており、インストール時の設定により異なる場合があります。%windir% のサブディレクトリである"System"や"System32"は %system% と表記しています。

解説

■侵入(インストレーション)について

Win32/Womble.A ワームが実行されると、ワームは自分自身を %system% にコピーし、次のサブフォルダを作成します。

次の名前は、次の内の1つです。

2つのファイルがフォルダにドロップされます。次の文字列の内のいくつかは、ファイル名の作成に用いられます。

ファイルのうちの1つは、ワームのコピーです。ファイル名は、次の拡張子のうちの1つです。

他には、WMFファイルでドロッパーとして用いられます。さらに、Graphics Rendering Engine の脆弱性によりコードが実行される可能性がある (912919) (MS06-001) に関連した脆弱さを利用します。このファイルサイズは、80KBです。ファイル名は、次の拡張子のうちの1つです。

ワームは、システムが開始される毎に実行できるよう、次のレジストリを登録します。

この登録に含まれているパスは、ワームの実行場所を示します。

■電子メール経由の拡散について

ワームはさらに拡散するために、次の拡張子の1つのローカルファイルより電子メールアドレスを捜します。

電子メールの件名(Subject)は、次の内の1つです。

電子メールの本文(Body)は、次のうちのいずれかを使います。

添付ファイルは、ZIP形式の圧縮ファイルです。このファイルはパスワード保護されている場合があります。ファイル名は次の文字列より組み合わせて作られます。

この圧縮ファイルには、実行可能なファイルもしくは、WMFドロッパーが含まれています。