MAILER-DAEMON からのメールがウイルスに汚染されていることがあります

メールが宛先不明になったことを、ネットワーク管理者が発信者に知らせるメールでは、「MAILER-DAEMON」という発信者名がよく使われます。最近、発信者名が「MAILER-DAEMON」となっているメールを、たびたび受け取っています。しかも、発信者のアドレスは、私が加入しているASAHIネットのサービスで使われている、「MAILER-DAEMON@mx1.asahi-net.or.jp」と同じでした。ところが、このメールにはタイトルと本文がなく、その代わりに添付ファイルが付いていて、ちょっと見ただけだと、内容はファイルをクリックすれば見ることができるような印象を受けるような形式になっていました。

「迷惑メールに対抗する方法」でも触れました通り、私は毎日のようにウィルス付きのメールを受け取っていて、しかも、このメールを受け取る直前に、宛先不明になる可能性のあるメールは送っていなかったため、あやしいと思って、ASAHIネットの技術サポートの楠様に、ヘッダー（これについても「迷惑メールに対抗する方法」をご参照ください）を付けて、お聞きしてみました。その結果、これも意図的ないやがらせであることが分かりました（下の　「（1）ASAHIネットからのメール」をご参照ください）。発信者のアドレスまで加工するというのですから、かなりのマニアのようです。一般の方が、このようなメールを受け取る可能性は低いと思いますが、このようなメールを不用意に開かれないようにお気を付けください。

組織的なウィルスメール攻撃を受けました

昨年11月に、「迷惑メール・・・」でも触れたウイルスメールの発信者の一人とみられる人の開設しているホームページの掲示板に、警告の書き込みをしてみましたところ、いきなり「W32.Badtrans.B@mm」という最新ウィルスの集中攻撃を受けました。最初のうちは、1日に20通近く届いたため、すぐに削除していましたが、「W32.Badtrans.B@mm」の場合は、発信者を特定できること（その方法を「（2）ウィルス発信者のアドレスは簡単に分かります」に示しました）ことが分かったため、ひまのあるときには、発信者に警告のメール（その例を「（3）警告メールの例」に示しました）を送ることにしました。警告メールを送っても、謝罪メールが送られてこなかったアドレスを「（4）ウィルス発信者アドレス」に示しましたが、これまでに、このような意図的ないやがらせとみられるメールのアドレスが202件も集まりました。この中には、ある有名女子大の学生が大学のメール・システムから送ったもの（a98236ih@XXXXXXX.ac.jp 、ただし、大学関係者の方が即座に対応して下さいましたので、XXXXXXXの部分に大学名が含まれるそのアドレスは分からないように修正しました）や、実在のホテルからのものもありました。

実在のホテルのアドレスは、kitaho@dish.ne.jpで、札幌市中央区の中島公園のそばにある「北ホテル」（ http://www.kita-hotel.com/ ）のものです。実は私も、親戚の結婚式の披露宴がこのホテルで開かれたため、利用したことがあります。結構しゃれたホテルでしたが、裏でこんなことをしているとはあきれました。

202件のうち、7件は重複しています（つまり同じ人から2回以上届きました）が、毎日違う人がウィルスメールを送りつけてくる（当番制でやっている感じです）わけですから、極めて組織的ないやがらせと考えられます。このいやがらせは、「Seki Junko さまのご意見」で、私がある宗教団体のことを批判したことがきっかけとなって始まりましたが、その宗教団体の下部組織である政党は、「迷惑メール防止法案」を推進しているそうです。本体ではカルト・サイバー・テロ組織を抱えていながら、政治の表舞台では正義漢ぶるというのはどういう神経なんでしょうか。ひょっとすると、この点についてだけは、政教分離の原則を堅持しているのかも知れません。

･最初のページに戻る

（1）　ASAHIネットからのメール

From:ＡＳＡＨＩネット [mailto:tech@desk.asahi-net.or.jp]
Sent: Thursday, February 14, 2002 8:24 PM
To: pb6m-ogr@asahi-net.or.jp
Subject:お問い合わせの件

XXXXXXX

日頃ＡＳＡＨＩネットをご利用いただきまして誠にありがとうございます。ヘッダーのご連絡ありがとうございました。

こちらでヘッダー情報を元に調査しましたところ、リターンメールではなくFrom行つまり送信者側が意図的に「MAILER-DAEMON@mx1.asahi-net.or.jp」を使用してメールを送信しているものと思われます。

接続先は、「DION」となっております。

Toにお客様のアドレスが表示されていないのは、おそらくOutlook ExpressなどのBCC（ブラインドカーボンコピー）の機能を利用したものと考えられます。

今回いただいたメールのヘッダー情報から特定の送信者を割り出すことはできませんが、該当するプロバイダ(DION)へ注意を促すように連絡しました。

今後ともＡＳＡＨＩネットをよろしくお願いします。

=======================================================================

ＡＳＡＨＩネット技術サポート　担当：楠
E-MAIL:　tech@desk.asahi-net.or.jp
104-0061　東京都中央区銀座6-6-7 朝日ビル
TEL.東京 03-3569-3528         FAX. 03-3569-3501

（2）ウィルス発信者のアドレスは簡単に分かります

発信者のアドレスを特定する一つの方法は、メールのヘッダーを取得することです。「W32.Badtrans.B@mm」などの最近のウィルスに感染したメールのヘッダーを取り出すためには、Microsoft Outlook などのプレビュー機能を外す必要があります。このためには、メニューバーの表示/プレビューウィンドーを選択します。再びプレビュー機能を使いたい場合には、同じ操作を行うだけで元に戻ります。

次に、メールを選択してダブルクリックすると、「添付ファイルを開いています」というダイアログ・ボックスが現れます。ここでファイルを開くか、保存するかを選択して「OK」を押すか、「キャンセル」を押すことが求められますが、この際、必ず「キャンセル」を選びます。「開く」や「保存する」を選んで「OK」を選ぶと、感染します。

メールが開かれたら、表示/オプションを選択するとインターネット・ヘッダーが表示されます。

下に、例として、15日に受け取ったウィルスメールのヘッダーをご紹介します。3行目のReturn-Path と書いてあるところのかっこの中が発信者のアドレスです。

Received: by j.asahi-net.or.jp (ATSON-1) ; 15 Mar 2002 21:38:02 +0900
Received: by aardvark (awsmtp) ; 15 Mar 2002 21:38:02 +0900
Return-Path: <mo-na@gw1.gateway.ne.jp>
Received: from mx2.asahi-net.or.jp (mx2.asahi-net.or.jp [202.224.39.165])
            　by trantula.asahi-net.or.jp (8.11.6/3.7W) with ESMTP id g2FCc2j04562
             for <pb6m-ogr@asahi-net.or.jp>; Fri, 15 Mar 2002 21:38:02 +0900 (JST)
Received: from mp1.vectant.ne.jp (mp1.vectant.ne.jp [163.139.231.192])
             by mx2.asahi-net.or.jp (Postfix) with ESMTP id 431786117
             for <pb6m-ogr@asahi-net.or.jp>; Fri, 15 Mar 2002 21:38:02 +0900 (JST)
Received: from aol.com (d18.AtokyoDSI11.vectant.ne.jp [163.139.21.28])
             by mp1.vectant.ne.jp (Switch-2.1.0/Switch-2.1.0) with SMTP id g2FCePN13941
             for <pb6m-ogr@asahi-net.or.jp>; Fri, 15 Mar 2002 21:40:25 +0900 (JST)
Date: Fri, 15 Mar 2002 21:40:25 +0900 (JST)
Message-Id: <200203151240.g2FCePN13941@mp1.vectant.ne.jp>
From: "c@輅" <_mo-na@gw1.gateway.ne.jp>
To: pb6m-ogr@asahi-net.or.jp
Subject: Re:
MIME-Version: 1.0
Content-Type: multipart/related;
              type="multipart/alternative";
              boundary="====_ABC1234567890DEF_===="
X-Priority: 3
X-MSMail-Priority: Normal
X-Unsent: 1
Delivery-Agent: @(#)$Id: local.c,v 1.59 2000/04/24 08:01:16 atson1 Exp $ on aardvark

また、同じメールを転送したときに、表示される Original Message という部分（下に例を示しました）からも、発信者のアドレスが分かります。ただし、転送しようとすると、また、ファイルを開いたり、セーブしたりするかどうかを聞いてきますので、ここでも必ず、「キャンセル」ボタンを押してください。この、メッセージの2行目のmailto:の後に書かれたアドレスから、最初のアンダーバーを消したものが、発信者のアドレス（mcm@jade.dti.ne.jp）です。

-----Original Message-----
From: MCM Inc. [mailto:_mcm@jade.dti.ne.jp]
Sent: Tuesday, March 12, 2002 10:18 AM
To: pb6m-ogr@asahi-net.or.jp
Subject: Re: 

（3）警告メールの例

あなたのアドレス（名前が分かる場合は名前も）は、悪意による意図的なウィルス発信者のアドレスとして記録されました。場合によっては、警察に通報するかも知れません。

（4）ウィルス発信者アドレス

私にウィルスを送り、私が警告メールを送ったにもかかわらず、返事が来なかったアドレスを表にしてこのページの一番下にアルファベット順に列挙しました。これらは、私が警告メールを送った時点では、宛先不明にはならなかったため、実在していたアドレスです。なお、この表は今後も適宜更新していく予定です（2003年5月31日追記：この表は、2002年6月27日と2003年5月31日にその後受け取った分を追加しました）。

（2002年3月17日）

最近いただいたメールから

2002年3月18日から6月24日までにいただいたウイルスメールのアドレスを下の表（（4）ウィルス発信者アドレス）に追加しました。右の列にN（月/日）と書いてあるのがこの間に受け取ったメールで、かっこ内は受け取った日の日付です。

この中で、送信者またはその所属団体が判明したものと何度も送ってきたものをご紹介します。

（1） watanabe@taishoshuppan.co.jp　は、ユダヤ人へのビザ発給により約６千人もの尊い命をナチス・ドイツの迫害から救った外交官である、杉原千畝氏の写真の権利関係を担当している「大正出版」（151-0053　東京都渋谷区代々木２−２７ー８）の渡辺勝正（代表）のアドレスのようです。ウイルス発信者とユダヤ人との間には不思議な接点があるようです。

（2）kojirou@fashion.ac.jp　は、学校法人、専門学校　「倉敷ファッションカレッジ」　から送られたものです。学校に問い合わせたところ、ヘッダーをお送りしたにもかかわらず、発信者は特定できなかったということですので、掲載させていただきました。

（3） ichiro_wakao@total-service.co.jp、 m_yamada@total-service.co.jp、 n_kihara@total-service.co.jp、　e_suzuoka@total-service.co.jp　はともに、「株式会社トータルサービス」（163-0242　東京都新宿区西新宿2-6-1新宿住友ビル36階　Tel:03-5325-1711） の方のようです。同社に問い合わせましたところ、そんなメールは発信していないということでしたが、こちらの資料では発信していると考えられますので、掲載させていただきました。どうも、ここは会社ぐるみのようです。

（4）　最近の傾向として注目されるのは、何度もウイルスメールを送ってくるアドレスが何件かあったという点です。例えば、　hac77930@rio.odn.ne.jp は7回、　k-honjyo@palette.plala.or.jp は4回、npXXXXXXX（2002年10月1日削除しました。詳しくは、下の、「一部を削除しました」をご覧ください）は13回、 sakae@kg7.so-net.ne.jp は9回などと結構しつこく送ってくる人がでてきました。

（5）　また、上で例として取り上げた、mcm@jade.dti.ne.jp も　MCM　Inc. （http://www.jade.dti.ne.jp/~mcm/index2.htm　正式には、Minimal Catalyst Management, Inc. 日本語社名：株式会社　エム・シー・エム、PRESIDENT:  HATANAKA, Kenji　ESTABLISHED:   May, 1994.　LOCATION: 5-2-11 Uehonmachi, Tennouji-ku　    Osaka-shi, Osaka 543-0001   JAPAN、　PHONE:   011-81-6-767-2600、FAX:  011-81-6-767-8801）という会社のアドレスのようです。この会社は単分子水による超触媒技術（ＭＩＣＡ加工）などという、怪しげな技術を売っている会社のようです。裏でこういうことをしているのですから、信用しない方がいいでしょう（というより、「いかさま」そのもののようです）。英語のサイトには住所と電話番号が載せてあるにもかかわらず、日本語のサイトには、社長の名前や住所、連絡先などが載せられていないのも怪しげです。GoogleなどでMCM を検索すると多数の会社がひっかかりますので、まともな企業と取り違えないようにご注意ください。

これからも、おもしろいことがあれば、ご報告させていただきます。

（2002年6月27日）

一部を削除しました

本日、下記のようなメールが届きましたので、関係する部分を削除しました。

当方のウイルス対策が遅れていたためウイルスが何度も自動発信され、ご迷惑をおかけしました。ネット上のウイルス発信者リストのXXXXXXXXXXXXXXXX（発信者名）を10月１日中に削除してください。尚、苦情に対するご返信が遅れていたのはパソコン自体がウイルスによって破壊された為に苦情の来ている事が解らずに居ました。

XXXXXXXXXXX XXXXXX（発信者名）

（2002年10月1日）

（4）ウィルス発信者アドレス

この表は、2002年3月17日に202件でスタートしましたが、2002年6月27日と2003年5月31日にその後受け取った分を追加しました。

2002年6月25日から2003年5月30日までに受け取ったメールについては、「最近いただいたメールから ― Part II」でご紹介しました。

（注）日付の列には、3種類の表記［（1）番号、（2）N(月/日）、（3）日付］があります。

（1）番号（1から202までの数字）だけが書いてあるアドレスは、2001年8月から2002年3月17日までの分、
（2）N（月/日）と書かれているアドレスは2002年3月18日から2002年6月24日までの分、
（3）2002/9/14というように日付が書かれているアドレスは2002年6月25日から2003年5月30日までに受け取ったものです。

また、同じアドレスからウィルスメールを複数回受け取った場合には一番最後に受け取った日付だけを表記して、受け取った回数を右に記入しました。ちなみに、受け取った回数の最高記録は haraki@sky.icn-tv.ne.jp で131回と群を抜いており、第2位は gg150060-5549@tbc.t-com.ne.jp の16回です。

（2002年3月17日、2002年6月27日と2003年5月31日に一部修正しました）

･最初のページに戻る