～ロシアのKasperskyが発見。今後のウィルス対策に重要な示唆

Webサイトを開くだけでトロイの木馬が送り込まれる「ウィルスサイト」

■URL
http://www.kaspersky.com/news.html?id=963317
http://www.microsoft.com/japan/technet/security/bulletin/ms00-075.asp

　ロシアのKasperskyは16日、ウィルス作者が開設したWebサイトを訪問するだけでトロイの木馬を送り込まれ、自分のマシンが自在に操作されてしまう新種のウィルス「Netdex」を発見したと報告した。幸いにして今のところ実害はほとんど出ていないが、今後のウィルスに対処するため、危険なWebサイトへどのように誘導されるかを知識として知り、教訓を得る必要がある。また、公表されているセキュリティーホールに対応したパッチをすべてインストールするなど早急に対策をとる必要がある。

　Netdexは、複数のコンポーネントに分かれた一連のプログラムだ。ウィルス作者が開設したロシアドメインのWebサイトには、JavaScriptで記述されたスクリプトが組み込まれており、Internet Explorer4.x/5.xに存在するMicrosoft VMのセキュリティーホール(MS00-075)を使って、Webサイトを開くと同時にトロイの木馬をマシンに送り込む。トロイの木馬はバックドアを開き、1分おきにそのWebサイトからの指令を受け取り、マシン内部にファイルの作成、削除、コピーを行なう。また、利用者に成り代わってメールを送信したり、システムメッセージを表示するなど、マシンを乗っ取ることが可能だ。

　既にKasperskyは、このウィルスが仕組まれているロシアのWebサイトを閉鎖する手続きをとっており、今のところNetdexに感染した被害はほとんど報告されていない。しかしNetdexの作者は新しいサイトを開設する可能性があり、メールで同じ侵入スクリプトを送りつけることもできる。また、Netdexが自分自身をアップデートする機能を保有していることから、被害者に対しては全く違うサイトから指令を送ることも可能だとしている。

　今回の場合、セキュリティーホールが存在するInternet Explorerのバージョンが低いこと、すでに多くの人がパッチをインストールしていることなどが感染被害が少なかった原因と考えられる。しかし、悪名高いウィルス「Nimda」が当初書き換えられたWebサイトを通して広く感染したことを考えると、Netdexから得られる教訓は大きい。

　特にこのウィルスがただ単にコンピュータを破壊するだけではなく、トロイの木馬を送り込むことから、ウィルスメールを「詐称」するのではなく、本当にその人物になりすましてメールを知り合いに送りつけることが可能になる。その場合、「おもしろいサイトを紹介します」などの文面で危険なWebサイトに誘導し、感染を広げる可能性も否定できない。

　そのためアンチウィルスソフトの定義ファイルを定期的にアップデートすること、定期的に公開される最新のセキュリティーホールのパッチを当てることはもちろんだが、それ以外に送られてくるスパムメールに記されているWebサイトをむやみに訪問しないこともウィルス感染を防ぐ重要な防御策となる。

(2002/10/17)

[Reported by 青木 大我 (taiga@scientist.com)]