 |
 |
記事検索 |
最新ニュース |
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
“接続しているだけで感染する”Blasterタイプのウイルス「Sasser」発生 |
||||||||
|
||||||||
|
～ウイルス対策ソフトベンダーや警察庁などが警戒を呼びかけ
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
ウイルス対策プログラムベンダー各社は2日、接続しているだけで感染するBlasterタイプのワーム型ウイルス「W32.Sasser.worm」の発生を確認。すでに亜種「W32.Sasser.worm.B」の発生も確認されており、ユーザーへ注意を呼びかけている。 W32.Sasser.worm（以下Sasser）は2003年8月に猛威をふるったBlasterウイルスと同様、OSの脆弱性を利用した、“ネットワークに接続しているだけで感染する”タイプのウイルス。企業などでは、ゴールデンウィーク明けの私物PCの持ち込みや、社内PCの脆弱性修正パッチ導入状況などに十分注意する必要がある。 Sasserウイルスは、Windowsの脆弱性「MS04-011」に含まれる「LSASSの脆弱性」を利用してワーム活動を行なう。感染すると、TCPポート5554でFTPサーバーを起動。FTPサーバーを使って、他のPCへウイルス拡散を試みる。 感染したPCは、ランダムに生成されたIPアドレスのTCPポート445に接続することを試み、接続が確立された場合、Sasserウイルスは接続先のPCに対して、TCP ポート9996上でリモートシェルの実行を可能とするシェルコードを送信。シェルを利用することによって、ポート5554上でFTPサーバに逆接続させ、ワームのコピーを取得させる。コピーのファイル名は、「74354_up.exe」のように、後半に _up.exe が付き、前半に4つまたは5つの数字が付く。 ワーム活動を行なう際、拡散先となるIPアドレスは、次のような法則でランダムに生成される。50％の確率で完全にランダム、25％の確率で1番目のオクテットが感染したPCと同じIPアドレス、25％の確率で1番目と2番目のオクテットが感染したPCと同じIPアドレスを生成する。Sasserウイルスはこれらのランダムに生成されたIPアドレスを走査するために128のスレッドを開始するため、感染したPCの処理速度は極端に低下する。 また、SasserウイルスはLSASS.EXEファイルをクラッシュさせることがあり、クラッシュが起きると、英文で「LSAシェルに問題が発生しました――（略）――マイクロソフトにこの問題を報告してください」という内容のメッセージを表示するウィンドウが現われ、システムが再起動するという。 Sasserウイルスへの感染を防ぐには、Windows Updateを実行して、Windowsの脆弱性「MS04-011」のセキュリティ修正パッチを導入すればよい。また、シマンテック・トレンドマイクロ・ネットワークアソシエイツなどウイルス対策ソフト各社は、それぞれ亜種にも対応済みの定義ファイルをリリースしているほか、駆除ツールも提供している。 関連情報 ■URL 「MS04-011」のセキュリティ修正プログラム（マイクロソフト） http://www.microsoft.com/japan/technet/security/bulletin/ms04-011.asp シマンテック（W32.Sasser.Worm） http://www.symantec.com/region/jp/sarcj/data/w/w32.sasser.worm.html シマンテック（W32.Sasser.B.Worm） http://www.symantec.com/region/jp/sarcj/data/w/w32.sasser.b.worm.html トレンドマイクロ（WORM_SASSER.A） http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_SASSER.A トレンドマイクロ（WORM_SASSER.B） http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_SASSER.B ネットワークアソシエイツ（W32/Sasser.worm） http://www.networkassociates.com/japan/security/virS.asp?v=W32/Sasser.worm ネットワークアソシエイツ（W32/Sasser.worm.b） http://www.networkassociates.com/japan/security/virS.asp?v=W32/Sasser.worm.b W32.Sasser.worm ウイルスの発生について（@police） http://www.cyberpolice.go.jp/important/2004/20040503_094530.html ■関連記事 ・ ネットワークに接続しているだけで任意のコードを実行可能な脆弱性（2004/04/14） ・ ISS、Windows SSL脆弱性に対する攻撃を確認～Windows Updateを呼びかけ（2004/04/28） ・ マイクロソフト、脆弱性修正プログラムの適用を強く推奨（2004/04/26）
（ 工藤ひろえ ）
- ページの先頭へ-
|
