	FML Security Advisory 2000-003: Love Letter Worm
	========================================

Topic:	Love Letter Worm

			Ken'ichi Fukamachi <fukachan@sapporo.iij.ad.jp>

	Copyright (C) 2000 Ken'ichi Fukamachi
		All rights reserved.

[Abstract] 
   * add the rule to config.ph

   &DEFINE_FIELD_PAT_TO_REJECT("Subject", "ILOVEYOU");

   $DISTRIBUTE_FILTER_HOOK = q#
      if ($e{'Body'} =~ /Content.*\.vbs|filename=.*\.vbs/i) {
           return 'VB script attatchment';
      }
   #;

   # MIME Multipart のメールをすべて拒否する
   &ADD_CONTENT_HANDLER('multipart/.*', '.*/.*', 'reject');

[References]
  "CERT Advisory CA-2000-04 Love Letter Worm"
	http://www.cert.org/advisories/CA-2000-04.html

	http://www.f-secure.com/v-descs/love.htm
	http://www.sophos.com/virusinfo/analyses/vbsloveleta.html
	http://www.sophos.com/virusinfo/analyses/trojloveleta.html
	http://www.thepope.org/index.pl?node_id=140
	http://www.datafellows.com/v-descs/love.htm
	http://www.symantec.com/avcenter/venc/data/vbs.loveletter.a.html

-------------------------
------------------------------------------------------------
1	Love Letter Worn
1.1	original Love Letter
1.2	Variant 1
1.3	Variant 2

I	フィルタリング

2	フィルタリング機能
2.1	fml フィルタリング機能について
2.2	makefml config を使う人
2.3	cf 書きの人
2.4	config.ph 生書きの人
2.5	make secure

3	フィルタリングに新ルールを加える
3.1	cfを使う人
3.2	config.phを使う人
3.3	MIME Multipart のメールをすべて拒否する

4	other solutions
4.1	vf.exe

Appendix A	Information
Appendix A.1	Bugtraq
Appendix A.2	postfix filtering
Appendix A.3	sendmail
Appendix A.4	uuencoded ?
------------------------------------------------------------

-------------------------

手順の意味についてはINSTALLマニュアルを参照して下さい

	http://www.fml.org/fml/INSTALL/

"CERT Advisory CA-2000-04 Love Letter Worm"

1	Love Letter Worn

	http://www.f-secure.com/v-descs/love.htm

1.1	original Love Letter

Subject: ILOVEYOU

添付ファイル: VB script

1.2	Variant 1

  Subject:    Susitikim shi vakara kavos puodukui...
  Body:       kindly check the attached LOVELETTER coming from me.
  Attachment: LOVE-LETTER-FOR-YOU.TXT.vbs

1.3	Variant 2

  Subject:    fwd: Joke
  Attachment: Very Funny.vbs

I	フィルタリング

2	フィルタリング機能

2.1	fml フィルタリング機能について

fml 2.2以降にはヘッダやメール本文に基づくフィルタリング機構があります。
つまり「ヘッダに特定のパターンがあったら弾く」とか「一行メールを拒否す
る」などができます。
＃正式なリリースとしては2.2ですが当然 2.1 current からあります。
＃ドキュメントないしソースにUSE_DISTRIBUTE_FILTERというのがあれば
＃動くバージョンです。

デフォールトではフィルタリング機能はOFFです。そのため、まずフィルタリ
ングをONにする必要があります(以下elena MLを例にとる)。

フィルタリング機能を有効にするには以下の節のいづれか一つの方法を行ない
ます。どれも作業の結果は同じですが、使いなれている方法でどうぞ。

2.2	makefml config を使う人

   "makefml config elena" -> security -> USE_DISTRIBUTE_FILTER -> "y" (yes)

2.3	cf 書きの人

   USE_DISTRIBUTE_FILTER 1

を書く。その後

	% make config.ph

で config.ph を作り直す。

2.4	config.ph 生書きの人

   $USE_DISTRIBUTE_FILTER = 1;

2.5	make secure

この際なのでフィルタリングをはじめ、セキュリティ関連の基本的な部分を全
部有効にする

   % cd /var/spool/ml/elena
   % make secure

するといろいろな設定を自動的にcfに書いてconfig.phをUPDATEする。 
やってる設定は画面に表示される。

3	フィルタリングに新ルールを加える

どちらでも作業の結果は同じですが、使いなれている方法でどうぞ。

3.1	cfを使う人

&DEFINE_FIELD_PAT_TO_REJECT("Subject", "ILOVEYOU");

亜種がでるだろうとおもわれるので、やらないよりはやった方がましという程度。

汎用的にはVBスクリプト全部を弾く必要があるだろう。

$DISTRIBUTE_FILTER_HOOK = q#
      if ($e{'Body'} =~ /Content.*\.vbs|filename=.*vbs/i) {
           return 'VB script attatchment';
      }
#;

をcfの最後(LOCAL_CONFIG行の後)に追加して config.ph を update するため
に 

	% make config.ph

3.2	config.phを使う人

config.ph生書きの人は

&DEFINE_FIELD_PAT_TO_REJECT("Subject", "ILOVEYOU");

亜種がでるだろうとおもわれるので、やらないよりはやった方がましという程度。
汎用的にはVBスクリプト全部を弾く必要があるだろう。

$DISTRIBUTE_FILTER_HOOK = q#
      if ($e{'Body'} =~ /Content.*\.vbs|filename=.*vbs/i) {
           return 'VB script attatchment';
      }
#;

を追加。

3.3	MIME Multipart のメールをすべて拒否する

MIME Multipart のメールはすべからく危ない可能性があるので、拒否すると
いう大技もある。ＭＬのポリシーとして認めないと宣言しこれを使用すること
は可能かも知れない。
       &ADD_CONTENT_HANDLER('multipart/.*', '.*/.*', 'reject');

4	other solutions

4.1	vf.exe

Message-ID:  <000d01bfb914$214863e0$2102020a@ELYSIUM>
Date:         Mon, 8 May 2000 18:37:48 +0100
From: Cerberus Security Team <CST@CERBERUS-INFOSEC.CO.UK>
Subject:      Contemplations : Melissa, I love you - not!

	http://www.cerberus-infosec.co.uk/

Appendix A	Information

Appendix A.1	Bugtraq

Bugtraq
Message-ID:  <20000504095618.N24513@securityfocus.com>
Message-ID:  <NDBBLPMNJHCONOFDHGCNIENLABAC.j.kase@privador.com>
Message-ID:  <20000504173015.2246.qmail@web612.mail.yahoo.com>
Message-ID:  <001901bfb5f1$e6baf0a0$85755ad1@iboats.com>
Message-ID:  <20000504110932.N15104@securityfocus.com>
Message-ID:  <88B83692B566C74F82EBDA8D36983E64B922@exchange2000.WAGWEB.COM>
Message-ID:  <20000504121550.B20905@securityfocus.com>
Message-ID:  <20000504163541.D14933@securityfocus.com>

Appendix A.2	postfix filtering

ATTENTION! postfix-19991231-pl08 has "body_checks" directive for
content filtering. Please check it out!

    [/etc/postfix/main.cf]
    header_checks = regexp:/etc/postfix/header_checks
    
    [/etc/postfix/header_checks]
    /^Subject.*ILOVEYOU/  REJECT

Appendix A.3	sendmail

	http://www.sendmail.com/loveletter/

Appendix A.4	uuencoded ?

    To: postfix-users@postfix.org
    Message-ID: <20000505100443.N3160@alcove.wittsend.com>
    
    	... snip ...
    
    they are using Microsoft Information Server and it's configured to send
    attachments to exterior addresses in uuencoded form.  
    
    	... snip ...

