新種ワーム、2万台以上のコンピュータに感染(SANS 研究所) | ScanNetSecurity
2021.06.13(日)

新種ワーム、2万台以上のコンピュータに感染(SANS 研究所)

 SANS研究所は、Microsoftのウェブサーバを稼動させている2万台以上のコンピュータが新種のインターネットワームに感染していると報告した。しかし、そう恐れることはないようだ。コンピュータを再起動するだけで、その悪意あるプログラムを除去できるという。同研究所

国際 海外情報
 SANS研究所は、Microsoftのウェブサーバを稼動させている2万台以上のコンピュータが新種のインターネットワームに感染していると報告した。しかし、そう恐れることはないようだ。コンピュータを再起動するだけで、その悪意あるプログラムを除去できるという。同研究所によると、7月13日に問題のワームCode Redが最初に確認されて以来、 MicrosoftのIISを稼動させている2万2000台以上のシステムが被害に遭った。同ワームは、先月(6月)eEye Digital Security社により発見されたIISの.ida バッファオーバーフロー脆弱性を利用して感染する。尚、Microsoft社は既にその脆弱性に対するパッチを公開した。

 Code Red はIISサーバに感染後、赤い文字で次のような内容のメッセージを表示する。“ようこそ、 http://www.worm.com ! 中国人にハッキングされました!”。そして、同ワームはインターネット上で無防備な他のIISシステムへの感染を試み、自己増殖を図る。eEye Digital Security社のハッキング対策担当責任者Marc Maiffret氏は「同ワームはMicrosoftのオペレーティング・システム Windows NT および Windows 2000 の英語版を稼動させているサーバのみに感染するよう設計されている。相当にずる賢いワームだ。英語版以外のサーバと認識すると、ワームはサイトの改ざんも自己増殖も行わない」と述べた。

 また、サイトが同ワームに感染しても、すぐには気づかない恐れがある。何故なら、自己増殖を行ってから、同ワームの悪質な書き換えペイロードが実行されるからだ。同ワームの検出を複雑にしているもう一つの要因は、同ワームはメモリー常駐型で、バッファオーバーフロー・コードに追加されたコード上で動作する点だ。結果、同ワームはウイルス対策ソフトにより検出される署名を含むファイルをハードディスクに残さない。しかし、一旦IISシステムを再起動すると、その悪質なコードは除去されるとMaiffret氏は説明した。また、一部のシステムでは、同ワームは膨大なリソースを消費しサーバの機能を停止させるため、事実上自滅すると付け加えた。

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×