トロイの木馬、キーボード打鍵履歴をとる機能も

プレビューだけで感染する「BugBear」ウィルスに注意

■URL
http://www.symantec.com/region/jp/sarcj/data/w/w32.bugbear@mm.html
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_BUGBEAR.A
http://www.nai.com/japan/virusinfo/virB.asp?v=W32/Bugbear@MM
http://www.microsoft.com/japan/technet/security/virus/bugbear.asp

　アンチウィルス企業各社は10月1日までに「BugBear」ウィルスに対する警戒レベルを軒並み引き上げて利用者に注意を喚起した。このウィルスはInternet Explorerのバグを利用してプレビューだけで感染する機能を持つほか、トロイの木馬を仕込み、キーボード打鍵履歴を外部に送信する機能を持つなど、極めて悪質な行動をとる。BugBearは、現在猛威を振るい続けている「Klez」と同程度の感染力を持つと考えられており、ウィルス定義ファイルを最新のものにし、ブラウザーの最新パッチを当てるなど、厳重な注意と対策が必要だ。

　現在シマンテックでは、このウィルスの危険度を「3」（Klezと同じ）、McAfeeは危険度「中」、トレンドマイクロも危険度「中」に設定している。

　BugBearが添付されたメールは「Announcement」などさまざまなサブジェクトで届き、しかも差出人を詐称する機能を持っている。そしてMicrosoftがすでにパッチを発表しているInternet Explorerのバグ「不適切なMIMEヘッダーが原因でInternet Explorerが電子メールの添付ファイルを実行する」脆弱性を利用する。これに対するパッチが当てられていない場合、OutlookやOutlook Express、またInternet Explorerなどでメールをプレビューするだけでウィルスに感染する。したがってMicrosoftセキュリティ情報「MS01-020」からダウンロードできる最新パッチを当てている必要がある。

　ウィルスに感染すると、アンチウィルスソフトやファイアウォールソフトのすべてのプロセスを停止させることが知られている。次にメールの受信トレイやメールボックスと推測される拡張子を持つファイルからメールアドレスを探し出し、それらのメールにウィルスを添付して送信する。そしてTCPポート「36794」を開き、ハッカーが感染したコンピューターを遠隔制御できるようにする。その際、BugBearがあらかじめ指定したメールアドレスにキーボード打鍵履歴なども送信しているため、コンピューターのパスワードなど重要な情報が漏れる可能性が高い。

　アンチウィルス企業各社は、すでにBugBearに対応したウィルス定義ファイルをアップデートしているため、これらを最新のものに更新するほか、Microsoftの発表している最新パッチを当てることで被害を最小限に食い止めることができるだろう。

　MicrosoftもBugBearに関連してセキュリティセンターで特別な情報を発表し、今後Klez同様にBugBearの亜種が出回り被害が拡大する可能性について指摘している。

(2002/10/2)

[Reported by 青木 大我 (taiga@scientist.com)]