FreeBSD 上で稼動する Apache をねらうワーム Scalper が発生 | ScanNetSecurity
2021.01.16(土)

FreeBSD 上で稼動する Apache をねらうワーム Scalper が発生

 2002年6月18日発表された WEB サーバ Apache の脆弱性をねらうワームが早くも登場した。  Apache は、もっともよく使われている WEB サーバアプリケーションであり、国内の co.jp ドメインのうち 82% が利用している。 ( https://www.netsecurity.ne.jp/article/1/4

製品・サービス・業界動向 業界動向
 2002年6月18日発表された WEB サーバ Apache の脆弱性をねらうワームが早くも登場した。
 Apache は、もっともよく使われている WEB サーバアプリケーションであり、国内の co.jp ドメインのうち 82% が利用している。
( https://www.netsecurity.ne.jp/article/1/4298.html )
Scan Incident Report によれば、自治体でも約13% が利用しているという。
http://vagabond.co.jp/c2/sir/index.htm

 18日に発表された脆弱性は、DoS 攻撃や任意のコードの実行が可能という深刻なものであった。
 すでに、セキュリティ上の問題を解決したバージョンやパッチなどが公開されている。

 シマンテック社、トレンドマイクロ社、エフセキュア社などアンチウィルスベンダ各社が Scalper に関する情報をあいついで公開した。

 今回、発見されたワームは、FreeBSD 上で動作するものである。
 このワームは、IPアドレスの最初の部分を固定とし、次をランダムに生成、3番目と4番目は、ひとつづつ増加させて攻撃対象となる IP アドレスを探索する。

 攻撃対象IPアドレスの生成方法の例:
  生成されたIPアドレス 11:222:333:444
  11 固定
  222 ランダムに生成
  333 ひとつづつ増加
  444 ひとつづつ増加

 探索方法は、HTTPのGETリクエストを攻撃対象のIPアドレスに送りつけ、Apache サーバを発見すると、バッファオーバーフロー脆弱性をついて自分自身のコピーを送りこもうとする。
 送り込む際は、自分自身をUUEncode し、"/tmp/.uua"というファイルとして送り込む。送り込んだ後は、自分自身を"/tmp/.a"にデコードし、実行する。"/tmp/.a"は、UDP ポート2001 のバックドアとして活動を開始する。
 バックドアを仕込まれるとリモートでメール送信やファイルのアップロードや任意のコードの実行が可能になる。
 ワームが稼動している場合、プロセスリストを見ると ".a" として表示される。発見した時は、プロセスを強制終了させ、ワーム本体である "/tmp/.a" を削除しなければならない。


詳しくはScan および Scan Daily EXpress 本誌をご覧ください)
http://shop.vagabond.co.jp/m-ssw01.shtml
http://shop.vagabond.co.jp/m-sdx01.shtml


Symantec
http://securityresponse.symantec.com/avcenter/venc/data/freebsd.scalper.worm.html

F-Secure
http://www.F-Secure.com/v-descs/scalper.shtml

TrendMicro
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=ELF_SCALPER.A

BUGTRAQ Apache worm in the wild
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263/1.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263/2.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/262.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/262/1.html


□ 関連情報:

ApacheのChunkエンコードのバグによる重大な脆弱性(続報)(2002.6.24)
https://www.netsecurity.ne.jp/article/1/5655.html
ApacheのChunkエンコードのバグによる重大な脆弱性(続報)(2002.6.20)
https://www.netsecurity.ne.jp/article/1/5584.html
ApacheのChunkエンコードのバグによる重大な脆弱性(2002.6.19)
https://www.netsecurity.ne.jp/article/1/5575.html

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×