「Subjectに「うんこ」や「極秘」などがつくワーム」記事へのコメント

うんこは禁止？

[ikemo (901)]

IPAでは「うんこ」は禁止 [ipa.go.jp]みたいです(^^;)
「以下の文字列`等'から選択」だから間違ってはいないけど…。

「うんこ」はありえない

[Anonymous Coward]

私はこのウイルスを解析しました。このウイルスは17件の日本語の単語を含んでいます。しかし私の解析では乱数を作るときに0から15までの16種類の乱数を作ります。そのため、17番目の「うんこ」がメールの件名になることはありません。

アンチウイルスベンダーの情報でも16と書いてあるところと17と書いてあるところがあります。 しかし「うんこというサブジェクトにつられて、ついつい開いてしまった」 [srad.jp]と言っていう人もいるので、私ももう1度、乱数の生成のルーチンを中心に解析をしてみたいと思います。

Re:「うんこ」はありえない

[mabu (7968)]

亜種の可能性もあるかも。
どうしても「うんこ」を件名にしたい人が改造したとか。

--

-----
Team Slashdot Japan [tripod.co.jp]に参加しよう。

Re:「うんこ」はありえない

[Anonymous Coward]

このウイルスくん、今日のお昼前にやってきたのでちょっとディスアセンブルしてみたのですが、ディスアセンブラで見る限りコードの実体がないように見えたんですが、ちょっとディスアセンブルしてみたくらいじゃ実体はわからんのですかねぇ？

７００バイト程度しかなかったので、バイナリエディタでダンプしても文字列なんてほとんどない（２つくら

復元後のファイルが変だとすれば

[Lupinoid (6733)]

　base64でエンコードされた1行が約1KBありました

(↓こんな感じ)
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA～～～～AAAAAAAAAA!
 AA!
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA～～～～AAAAAAAAAA!
 AA!

ので，デコードツールによっては最初の1行分しかデコードされず，不完全な(サイズの小さい)復元ファイルしか得られない可能性があります(正常に実行されないのでむしろ幸せかもしれませんが)。

　実は私の使用しているMUAでもこの様な結果となったため，受信後のメールを書き換えて70バイト程度で改行した("!"も除去した)ものを作り，patch.exeを復元しました。

--
　　- Lupinoid -

本当にW32/Fbound.B?

[Anonymous Coward]

７００バイト程度しかなかったので、バイナリエディタでダンプしても文字列なんてほとんどない（２つくらいリンク用？のＡＰＩかなんかの名前はあったような・・・）し、いったいどうやって動いているのか不思議・・・。なんかヘッダ（というのかな）部分もおかしい感じだったし。ほんとに７００バイト程度だったんでしょうか？？

このウイルスは12288バイトです。本当にW32/Fbound.Bですか?アンチウイルス製品はそのファイルに対し

Re:本当にW32/Fbound.B?

[Anonymous Coward]

MIME（というかUUENCODE）でエンコードされた行も異様に短かったので、Lupinoidさんの言われるように正常にデコードされなかったか、または別のなんかの現象？だったのでしょう。
ウイルスバスターはその時点では

【確定】「うんこ」はありえない

[Anonymous Coward]

#71808です。再度解析しましたがメールの件名が「うんこ」になることはありません。また3月15日19時現在、亜種も存在しないことを確認しました。アンチウイルスベンダーの情報でメールの件名の候補に「うんこ」が含まれていても、それはアンチウイルスベンダーの情報が間違っています。