依然猛威を振るう同ワームの根絶を目指す
（2009年01月15日）
米国Microsoftは、依然として猛威を振るう「Conficker」ワームを除去するための無償セ キュリティ・ツールをアップデートした。同ワームは、昨年のパッチ公開後も重大な脆弱性が残っている複数の サーバ製品に影響する。
Microsoft の公式ブログによると、「Malicious Software Removal Tool（MSRT、悪意のあるソフトウェアの削除ツール）」の最新アップデート版は、サーバに感染して他 のマルウェアをダウンロードしようとする 「Conficker」ワームへの感染を除去できるという。
ConfickerはWindows Serverサービスの脆弱性を狙う。Microsoftはこの欠陥の重大性を認識し、昨年10月23日に Windows 2000、XP、Vista、Server 2003、Server 2008を対象に緊急パッチを出していた。
今回、サーバに感染する「Win32/Conficker.B」という新亜種が発見された。攻撃者が未パッチのサーバに悪意あるリモート・プロシ ージャ・コール（RPC）を行うと、システムが感染し、サーバ上で任意のコードを実行できると いう。
Microsoft のクリスチャン・クラヨベアヌ（Cristian Craioveanu）氏とジブ・マダー（Ziv Mador）氏は、同社のセキュリティ・ブログ「Microsoft Malware Protection Center」に、「Conficker.Bはパスワードを推測して他の共有ネットワーク・マシンにそれ自 身の複製を作ろうとするなど、これまでと違うや り方で広がる」と記している。また、リムーバブル・メディアを介して拡大することもある。
Conficker は検出されるのを避けるため、いくつかのトリックを使う。その1つが、圧縮と暗号化を使うことで、ウイルス 対策ソフトの目をくらましてコードの検出を難し くする手法“ポリモーフォズム”だ。「さらに、ファイルの検出を難しくし、主要なアクセス権まで改竄されて しまう」（同ブログより）Conficker.B の拡大で最も被害を受けているのは、大規模ネットワークを運用しているユーザーだ。同社によると、すでに米 国、メキシコ、フランス、スペイン、カナダ、イ タリア、ブラジル、韓国、ドイツ、マレーシア、チェコ共和国のシステムが影響を受けているとい う。
MSRT （悪意のあるソフトウェアの削除ツール）は、PCをスキャンしてマルウェアを除去するだけのシンプルなセキ ュリティ・ツールだ。Microsoftは Windows PCとWindowsサーバに甚大な被害を及ぼすマルウェアを少しでも除去できるよう、同ツールのサポート に投資してきた。同社は、共有ネットワークのパ スワードを強化してからMSRTのスキャンを実行するよう勧めている。
ただし、感染したコンピュータでは「Windows Update」にアクセスできないことがある。そこでMicrosoftは、まずクリーンなマシンにMSR Tをダウンロードしてから感染マシンに適用する方法も紹介している。
フィンランドのセキュリティ・ベンダー、F-Secureで最高リサーチ責任者（CRO）を務めるミッコ・ヒッポネン（Mikko Hypponen）氏は、「2週間ほど前からConfickerがヨーロッパ全域で急速に広がりつつある」 と懸念を表明した。
F -SecureがConfickerを分析したところ、C＆C（Command and Control）サーバに対してドメイン名を生成するアルゴリズムを発見した。「ドメイン名の生成後、マル ウェアの作者はこれらドメイン名の1つを実在す るWebサイトに変え、感染したPCはそのサイトからマルウェアのアップデート版や命令を受けることになる 」とヒッポネン氏は説明する。
この手口は、Mebrootをはじめとする他のボットネットでも使われてきた。C＆CのWebサイトを閉 鎖するのはきわめて難しい。数百もあるC＆Cサイトのうち、どれが使われるかを突き止めるのが困難だからだ 。「実にやっかいな手口だ」とヒッポネン氏。
F -Secureは感染の疑いがあるコンピュータの台数を推計するため、このアルゴリズムで生成されたドメイン 名をいくつか登録してみた。その結果、台数は 1月13日時点で250万台に上った。さらに翌14日には、命令を受けるため登録ドメイン名にポーリングし たコンピュータが350万台以上に及んだ。
だが、F-Secureのアナリストらは、感染マシンの実数はこれよりはるかに多いと考えている。「コンピュータの感 染以外の悪意のある活動は、 Conficker.Bのコンピュータ・ネットワークでは見られなかった」とヒッポネン氏は述べる。ただし 、感染マシンは巨大なボットネットを形成するた め、予想できない大惨事につながる危険をはらんでいる。
初期のConfickerは、PCのDNS（Domain Name System）設定を改竄することで、ブラウザのアドレス・バーに表示されているのとは異なるWebサイト にアクセスさせるというものだった。
「そのときはユーザーがGoogle.comから広告だらけのロシアのWebサイトに飛ばされた。広告のポ ップアップが出ることもあった。いずれの場合 も、Confickerのコントローラはこれら広告に膨大なトラフィックを流し込むことで不正な利益をあげ ていたようだ」（ヒッポネン氏）
なお、F-Secureは「Downandup」という独自のConficker除去ツールを作成した。
(Jeremy Kirk／IDG News Serviceロンドン支局)
http://www.computerworld.jp/news/sec/132090.html
Silence is the scammer's best friend; knowledge is the scammer's worst enemy. 沈黙は詐欺師のよき友達、知識は詐欺師の天敵。Think globally, act globally.
Reply With Quote
