Googleなどを狙った攻撃はIE6のみ標的、IE8へのアップグレードを

　米Microsoft Security Response Center（MSRC）は17日、Googleなど多数の企業を狙った攻撃において、Internet Explorer（IE）の未修正の脆弱性が悪用されていた件について、この攻撃ではIE6のみが標的になっているとして、最新版のIE8へのアップグレードを呼びかけた。

　米Googleでは12日、中国の人権活動家のGmailアカウントに対して攻撃が行われたことを発表。この攻撃はGoogleだけでなく多数の大企業に対しても行われていたという。攻撃には複数の脆弱性が使用されていたが、その中にはIEの未修正の脆弱性も含まれることが確認され、Microsoftではセキュリティ情報を公開した。確認されたIEの脆弱性は、IE 8/7/6の各バージョンに影響があり、Microsoftでは現在修正パッチの開発を進めている。

　一方、今回の攻撃はIE6のみが標的となっており、検証コードを含めてIE6以外で成功した攻撃は確認されていないという。Microsoftでは、WindowsやIEの新しいバージョンで提供しているセキュリティ保護機能が、こうした結果につながっていると思われると説明。IE6を利用しているWindows XP SP2ユーザーに対しては、IE8にアップグレードした上でDEP（Data Execution Protection）機能を有効にするか、標準でDEPが有効となるWindows XP SP3へのアップグレードを呼びかけている。

　また、米McAfeeでは、Googleなどを狙った攻撃で用いられた攻撃コードが、一般にも出回っていると警告している。McAfeeが「Operation Aurora」と命名した攻撃コードは、メーリングリストやWebサイトから入手可能な状態となっているという。また、この攻撃コードを含むページも存在しており、ハイチ地震に関して検索したユーザーを誘導する目的で作成されたと見られるページも確認されたとしている。