2002年6月18日発表された WEB サーバ Apache の脆弱性をねらうワームが早くも登場した。 Apache は、もっともよく使われている WEB サーバアプリケーションであり、国内の co.jp ドメインのうち 82% が利用している。( https://www.netsecurity.ne.jp/article/1/4298.html )Scan Incident Report によれば、自治体でも約13% が利用しているという。（ http://vagabond.co.jp/c2/sir/index.htm ） 18日に発表された脆弱性は、DoS 攻撃や任意のコードの実行が可能という深刻なものであった。 すでに、セキュリティ上の問題を解決したバージョンやパッチなどが公開されている。 シマンテック社、トレンドマイクロ社、エフセキュア社などアンチウィルスベンダ各社が Scalper に関する情報をあいついで公開した。 今回、発見されたワームは、FreeBSD 上で動作するものである。 このワームは、IPアドレスの最初の部分を固定とし、次をランダムに生成、3番目と4番目は、ひとつづつ増加させて攻撃対象となる IP アドレスを探索する。 攻撃対象IPアドレスの生成方法の例： 生成されたIPアドレス 11:222:333:444 11 固定 222 ランダムに生成 333 ひとつづつ増加 444 ひとつづつ増加 探索方法は、HTTPのGETリクエストを攻撃対象のIPアドレスに送りつけ、Apache サーバを発見すると、バッファオーバーフロー脆弱性をついて自分自身のコピーを送りこもうとする。 送り込む際は、自分自身をUUEncode し、"/tmp/.uua"というファイルとして送り込む。送り込んだ後は、自分自身を"/tmp/.a"にデコードし、実行する。"/tmp/.a"は、UDP ポート2001 のバックドアとして活動を開始する。 バックドアを仕込まれるとリモートでメール送信やファイルのアップロードや任意のコードの実行が可能になる。 ワームが稼動している場合、プロセスリストを見ると ".a" として表示される。発見した時は、プロセスを強制終了させ、ワーム本体である "/tmp/.a" を削除しなければならない。詳しくはScan および Scan Daily EXpress 本誌をご覧ください） http://shop.vagabond.co.jp/m-ssw01.shtmlhttp://shop.vagabond.co.jp/m-sdx01.shtmlSymantechttp://securityresponse.symantec.com/avcenter/venc/data/freebsd.scalper.worm.htmlF-Securehttp://www.F-Secure.com/v-descs/scalper.shtmlTrendMicrohttp://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=ELF_SCALPER.ABUGTRAQ Apache worm in the wildhttp://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263.htmlhttp://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263/1.htmlhttp://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263/2.htmlhttp://msgs.securepoint.com/cgi-bin/get/bugtraq0206/262.htmlhttp://msgs.securepoint.com/cgi-bin/get/bugtraq0206/262/1.html □ 関連情報:ApacheのChunkエンコードのバグによる重大な脆弱性（続報）(2002.6.24)https://www.netsecurity.ne.jp/article/1/5655.htmlApacheのChunkエンコードのバグによる重大な脆弱性（続報）(2002.6.20)https://www.netsecurity.ne.jp/article/1/5584.htmlApacheのChunkエンコードのバグによる重大な脆弱性(2002.6.19)https://www.netsecurity.ne.jp/article/1/5575.html
