新種ワーム、2万台以上のコンピュータに感染(SANS 研究所) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2018.11.19(月)

新種ワーム、2万台以上のコンピュータに感染(SANS 研究所)

 SANS研究所は、Microsoftのウェブサーバを稼動させている2万台以上のコンピュータが新種のインターネットワームに感染していると報告した。しかし、そう恐れることはないようだ。コンピュータを再起動するだけで、その悪意あるプログラムを除去できるという。同研究所

国際 海外情報
 SANS研究所は、Microsoftのウェブサーバを稼動させている2万台以上のコンピュータが新種のインターネットワームに感染していると報告した。しかし、そう恐れることはないようだ。コンピュータを再起動するだけで、その悪意あるプログラムを除去できるという。同研究所によると、7月13日に問題のワームCode Redが最初に確認されて以来、 MicrosoftのIISを稼動させている2万2000台以上のシステムが被害に遭った。同ワームは、先月(6月)eEye Digital Security社により発見されたIISの.ida バッファオーバーフロー脆弱性を利用して感染する。尚、Microsoft社は既にその脆弱性に対するパッチを公開した。

 Code Red はIISサーバに感染後、赤い文字で次のような内容のメッセージを表示する。“ようこそ、 http://www.worm.com ! 中国人にハッキングされました!”。そして、同ワームはインターネット上で無防備な他のIISシステムへの感染を試み、自己増殖を図る。eEye Digital Security社のハッキング対策担当責任者Marc Maiffret氏は「同ワームはMicrosoftのオペレーティング・システム Windows NT および Windows 2000 の英語版を稼動させているサーバのみに感染するよう設計されている。相当にずる賢いワームだ。英語版以外のサーバと認識すると、ワームはサイトの改ざんも自己増殖も行わない」と述べた。

 また、サイトが同ワームに感染しても、すぐには気づかない恐れがある。何故なら、自己増殖を行ってから、同ワームの悪質な書き換えペイロードが実行されるからだ。同ワームの検出を複雑にしているもう一つの要因は、同ワームはメモリー常駐型で、バッファオーバーフロー・コードに追加されたコード上で動作する点だ。結果、同ワームはウイルス対策ソフトにより検出される署名を含むファイルをハードディスクに残さない。しかし、一旦IISシステムを再起動すると、その悪質なコードは除去されるとMaiffret氏は説明した。また、一部のシステムでは、同ワームは膨大なリソースを消費しサーバの機能を停止させるため、事実上自滅すると付け加えた。

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

(。・ω・)ゞ !!11月末迄 ScanNetSecurity創刊20周年特別キャンペーン実施中。会員限定 PREMIUM 記事読み放題。現在通常料金半額以下!!
(。・ω・)ゞ !!11月末迄 ScanNetSecurity創刊20周年特別キャンペーン実施中。会員限定 PREMIUM 記事読み放題。現在通常料金半額以下!!

サイバーセキュリティの専門誌 ScanNetSecurity は 1998年の創刊から20周年を迎え、感謝を込めた特別キャンペーンを実施中。創刊以来史上最大割引率。次は30周年が来るまでこの価格はもうありません!

×