|
>Dear XXXXXXX.
>
>Date: 17/5/99
>This is a worm program, NOT a virus. This program has reportedly
been
>received through email spamming and USENET newsgroup posting.
The file is
>usually named HAPPY99.EXE in the email or article attachment.
>When being executed, the program also opens a window entitled
"Happy New
>Year 1999 !!" showing a firework display to disguise
its other actions. The
>program copies itself as SKA.EXE and extracts a DLL that
it carries as
>SKA.DLL into WINDOWS\SYSTEM directory. It also modifies
WSOCK32.DLL in
>WINDOWS\SYSTEM directory and copies the original WSOCK32.DLL
into
>WSOCK32.SKA.
>WSOCK32.DLL handles internet-connectivity in Windows 95
and 98. The
>modification to WSOCK32.DLL allows the worm routine to be
triggered when a
>connect or send activity is detected. When such online activity
occurs, the
>modified code loads the worm's SKA.DLL. This SKA.DLL creates
a new email or
>a new article with UUENCODED HAPPY99.EXE inserted into the
email or
article.
>It then sends this email or posts this article. If WSOCK32.DLL
is in use
>when the worm tries to modify it (i.e. a user is online),
the worm adds a
>registry entry:
>HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce=SKA.EX
E
>The registry entry loads the worm the next time Windows
start.
>Removing the worm manually:
>delete WINDOWS\SYSTEM\SKA.EXE
>delete WINDOWS\SYSTEM\SKA.DLL
>in WINDOWS\SYSTEM\ directory, rename WSOCK32.DLL to WSOCK32.BAK
>in WINDOWS\SYSTEM\ directory, rename WSOCK32.SKA to WSOCK32.DLL
>delete the downloaded file, usually named HAPPY99.EXE
>Windows prevents you to do step #3 and #4 above if the machine
is still
>connected to the Internet. The file "windows\system\wsock32.dll"
is used
>whenever the machine is connected to Internet (i.e. through
dial-up or LAN
>connection).
>If you are using dial-up connection (i.e. Oz2000 Internet),
you need to do
>the following:
>Disconnect Oz2000Õs internet connection
>delete WINDOWS\SYSTEM\SKA.EXE
>delete WINDOWS\SYSTEM\SKA.DLL
>in WINDOWS\SYSTEM\ directory, rename WSOCK32.DLL to WSOCK32.BAK
>in WINDOWS\SYSTEM\ directory, rename WSOCK32.SKA to WSOCK32.DLL
>delete the downloaded file, usually named HAPPY99.EXE
>If you are connected to Internet through LAN (i.e. in the
office or cable
>modem), you need to do the following:
>From the Start menu, select shutdown-restart in MS DOS mode
>type CD \windows\system when DOS prompt (C:\)appears
>type RENAME WSOCK32.DLL WSOCK32.BAK
>type RENAME WSOCK32.SKA WSOCK32.DLL
>type DEL SKA.EXE
>type DEL SKA.DLL
陳からのコメント
ご指摘の通りこれはワームというタイプの不正なプログラムですね。
Ｈａｐｐｙ99は別名W32/Skaと呼ばれており、通常電子メールやニュースグループへの投稿を通じ繁殖されているようです。
このプログラムはタイトル通りHAPPY99.EXEという名前で、電子メールなどに添付されます。
HAPPY99.EXEファイルが実行されると、不正な動作を隠すかのように"Happy New Year 1999!"
というタイトルで花火の画像を表示します。 これが、このページの下に添付したダイアログですね。
簡単に動作を説明するとプログラムは自分自身をSKA.EXEという名前でコピーし、さらにSKA.DLLという名前の
DLLをWINDOWS\SYSTEMディレクトリに展開します。
また、WINDOWS\SYSTEMディレクトリにあるWSOCK32.DLLをWSOCK32.SKA
という名前で保存し、WSOCK32.DLLを変更します。
WSOCK32.DLLは、Windows上でインターネット接続するために使用します。
変更されたWSOCK32.DLLは、インターネット接続やデータ送信時、SKA.DLLをロードします。
SKA.DLLは、UUENCODE形式でエンコードしたHAPPY99.EXEを、電子メールやニュースグル
ープの投稿に自動的に添付して送信してしまいます｡
トンデモ画像として出回ったもの
1999年5月採取 Gif 5ｋ
これと同じメール、または似たたようなメールを受信されましたら、くれぐれも転送しないように、ご注意下さい。 これは、コンピュータの初心者や経験の浅いユーザが混乱させたり、間違ったインターネットのマナーを覚える原因になります。
皆様のご協力をお願い申し上げます。
|
