【詳細情報】Hocus Pocus Teamによって作成されたWhyHocPo | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2018.06.23(土)

【詳細情報】Hocus Pocus Teamによって作成されたWhyHocPo

国際 海外情報

◆概要:
 WhyHocPoは、Hocus Pocus Teamが作成したとされるVisual Basic Script(VBS)ワームである。WhyHocPoはサイズが1.8kバイトで、一般的に電子メール、ネットワーク、リムーバブルメディア、インターネットリレーチャットなどのファイル共有媒体を介して他のコンピューターに拡散する。

 実行されると、WhyHocPoが自己コピーを作成する。自己コピーは、デスクトップ、スタートアップ、ローカルドライブのtempディレクトリーに7baby.vbsとして保存される。さらに、7baby.vbsを指す2つの新しいショートカットを作成し、デスクトップとFavoritesディレクトリーに保存する。実行されると、次のメッセージボックスが表示される。

VBS.WhyMe
Fret Now!! Just A Simple Virus By The Hocus Pocus Team!!

[ OK ]

別名:
VBS/WhyHocPo、WhyHocPo、VBS.WhyMe、WhyMe


◆情報ソース:
・Central Command Inc. ( http://support.centralcommand.com/cgi-bin/command.cfg/php/enduser/std_adp.php?p_refno=021028-000013 ) , Oct. 28, 2002

◆キーワード:
 Trojan: Other Worm: Other

◆分析:
 (iDEFENSE 米国) WhyHocPoが一般に拡散する方法は明確ではないが、電子メールを介しては拡散しないといわれている。コンピューターからコンピューターに拡散するのではなく、特定のターゲットに送信され、ローカルコンピューターで拡散するトロイの木馬の性質を持っている可能性がある。

◆検知方法:
 ワームによって作成されたファイル、ショートカットのリンク、メッセージを探す。

◆リカバリー方法:
 WhyHocPoに関するすべてのファイルを削除し、破壊・破損したファイルをクリーンなバックアップコピーで修復する。

◆暫定処置:
 すべての新規ファイルを慎重に管理し、経験則を用いる最新のアンチウイルスソフトウェアでスキャンしてから使用する。通常のオペレーションではWSH(Windows Scripting Host)が不要な場合、それをコンピューターから削除する。WSHが必要なコンピューターでは、VBSファイルの自動実行を防ぐため、VBSをスクリプトエディターに関連づけるか、または関連づけを完全に削除する。

◆ベンダー情報:
 現在、セントラルコマンド社のアンチウイルスソフトウェアは、この悪意のあるプログラムへの対応が可能である。また、他のアンチウイルスソフトウェアも、経験則を用いてWhyHocPoを検知できる可能性がある。


※この情報はアイ・ディフェンス・ジャパン
 ( http://www.idefense.co.jp/ )より提供いただいております。
  アイディフェンス社の iAlert サービスについて
  http://shop.vagabond.co.jp/p-alt01.shtml
  情報の内容は以下の時点におけるものです。
 【19:35 GMT、10、28、2002】
《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×