要対処！Microsoft SQL Server 2000 ねらうワーム "Slammer"（更新情報）

　先日、広範囲に渡る被害が報告されたワーム "Slammer" 。Microsoft SQL Server 2000 の既知の脆弱性（MS02-039）をねらうこのワームに対し、ベンダ各社が無償駆除ツールの提供などにより、対応をすすめている。今日にかけて、いくつかの情報更新が行われた。

　このワームは UDP1434ポートを使用して、Microsoft SQL Server 2000に対する攻撃を実施する。また、SQLの技術を利用するMicrosoft Desktop Engine(MSDE) 2000にも同様の脆弱性があるため、同様の攻撃を実施する。成功するとそのホストに感染する。感染した後は、ランダムに新しいIPアドレスを作成し、攻撃を開始する。このワームは、ファイルの作成・コピーなどを行わず、直接メモリ上で不正コードが実行される。そのため、リブートすることで感染そのものを除去することも可能である。また、一時的な回避方法として、UDP1434ポートへのアクセスを遮断する方法がある。ただし、これらは一時的な回避、対策方法であり、脆弱性への対処をしないと、再度攻撃を受けて感染する可能性が高い。

　このワームは、大量のパケットを UDP1434 ポートに送信するため、トラフィックが急増している。

>> ベンダ各社の対応状況

▼トレンドマイクロ
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_SQLP1434.A

無償駆除ツールのダウンロードURL
http://www.trendmicro.co.jp/esolution/solutionDetail.asp?solutionId=4700

▼シマンテック
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.symantec.com/region/jp/sarcj/data/w/w32.sqlexp.worm.html

無償駆除ツールのダウンロードURL
http://www.symantec.com/region/jp/sarcj/data/w/w32.sqlexp.worm.removal.tool.html
脆弱性についての情報
http://www.symantec.com/region/jp/sarcj/security/content/2270.html

▼日本ネットワークアソシエイツ
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.nai.com/japan/virusinfo/virS.asp?v=W32/SQLSlammer.worm

無償駆除ツールのダウンロードURL
http://www.nai.com/japan/virusinfo/stinger.asp
SQLSlammerに関するストリーミングセミナー
http://www.nai.com/japan/mcafee/seminar_virusinternet.asp
ウイルス絵解き理解
http://www.nai.com/japan/virusinfo/viruscartoon.asp?ViruGazoMokujiNo=8

▼日本エフ・セキュア
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.f-secure.co.jp/v-descs/v-descs3/slammer.htm

▼インターネットセキュリティシステムズ
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.isskk.co.jp/support/techinfo/general/X-ForceslammerWorm.html

▼Sophos
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.sophos.co.jp/virusinfo/analyses/w32sqlslama.html

▼マイクロソフト
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
http://www.microsoft.com/japan/technet/security/virus/sqlslam.asp

□関連情報

MS内のサーバも「対策する時間がなく」Slammerによってダウン
http://www.securitynewsportal.com/cgi-bin/cgi-script/csNews/csNews.cgi?database=JanV%2edb&command=viewone&id=78&op=t

インターネット保安措置しなければ「処罰」
Slammer 蔓延の原因は、不法コピー製品！？
http://japanese.chosun.com/site/data/html_dir/2003/01/27/20030127000033.html

「ウイルス侵入」11の海外アドレスを確保
http://japanese.chosun.com/site/data/html_dir/2003/01/27/20030127000065.html

「インターネット事態」ＰＬ訴訟可能に
http://japanese.chosun.com/site/data/html_dir/2003/01/27/20030127000055.html

eEyeがSlammerのスキャナを無償で提供
http://www.eeye.com/html/Research/Tools/SapphireSQL.html

SQL Server のユーザーグループ、
PASSJより「SQL Slammer ワーム」特設ページ開設のお知らせ
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

SQL Serverユーザーグループ(PASSJ)では、今回さまざまな被害を起こした
「SQL Slammer ワーム」に関する特設ページを開設いたしました。

* 「SQL Slammer ワーム」特設ページ
http://www.sqlpassj.org/info/slammer.aspx

基本的なワーム情報だけでは現場のユーザには、不十分であると考え、「セキュリティ分科会」を中心に問題の背景や、関連する情報、考えられる問題点、修正プログラムの解析など広く、深く情報交換を行っています。それらを元に随時を更新していますので、ぜひご覧下さい。

* SQL Server に関する脆弱性、セキュリティに関してのテーマを扱う、
「セキュリティ分科会」過去ログページ
http://www.sqlpassj.org/bbs/ml_disp.aspx?forum_id=2&disp_mode=4

>> 脆弱性に関する情報

　 http://www.cert.org/advisories/CA-2002-22.html
　 http://www.microsoft.com/japan/technet/treeview/default.asp?url=/japan/technet/security/bulletin/MS02-039ov.asp
　 http://www.nextgenss.com/advisories/mssql-udp.txt
　 http://www.microsoft.com/technet/security/bulletin/MS02-039.asp
　 http://www.jpcert.or.jp/at/2003/at030001.txt

□参考情報

シスコ社の製品の一部にも Microsoft SQL Server 2000 が含まれているため対処が必要
Cisco Security Advisory:
Microsoft SQL Server 2000 Vulnerabilities in Cisco Products - MS02-061
http://www.cisco.com/warp/public/707/cisco-sa-20030126-ms02-061.shtml

Analysis of Sapphire SQL Worm
http://www.techie.hopto.org/sqlworm.html

http://archives.neohapsis.com/archives/ntbugtraq/2003-q1/0015.html

Retina Sapphire SQL Worm Scanner from eEye Digital Security
http://www.eeye.com/html/Research/Tools/SapphireSQL.html

SQL Sapphire Worm Analysis:
http://archives.neohapsis.com/archives/ntbugtraq/2003-q1/0015.html

Re: W32/SQLSlammer PACKET CAPTURE
http://archives.neohapsis.com/archives/ntbugtraq/2003-q1/0016.html

New MS SQL Server Worm:
http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/incidents/2003.01/msg00119.html
http://www.digitaloffense.net/worms/mssql_udp_worm/

BUGTRAQ
http://msgs.securepoint.com/cgi-bin/get/bugtraq0301/238.html

「バガボンド　プレスクラブ」に会員登録されている方は、今回の記事の
　内容を会員規約にのっとった形式で、無償でご自由に転載できます。
「バガボンド　プレスクラブ」ご入会は下記URLで受け付けております。
イントラネット向け転載
http://vagabond.co.jp/press_y/index.html
媒体社向け転載
http://vagabond.co.jp/press/index.html

脆弱性と脅威脅威動向

Scan PREMIUM 会員限定記事

日本の仮想通貨市場と関連法～コインチェック事件が与えた影響

Foxit Reader および Foxit Phantom Reader における Use-After-Free とメモリリークにより遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）

[学術研究] 主要セキュリティ対策の費用対効果ランキング

URL 末尾が「死ね死ね死ね」ついに最期の時迎える TLS 1.0 / 1.1（The Register）

カテゴリ別新着記事

Scan PREMIUM 会員限定記事

日本の仮想通貨市場と関連法 ～ コインチェック事件が与えた影響

Foxit Reader および Foxit Phantom Reader における Use-After-Free とメモリリークにより遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）

[学術研究] 主要セキュリティ対策の費用対効果ランキング

URL 末尾が「死ね死ね死ね」ついに最期の時迎える TLS 1.0 / 1.1（The Register）

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

「Explzh」に、任意のファイルを作成されたり上書きされる脆弱性（JVN）

ISC「Kea DHCP server」に、DoS攻撃を受ける脆弱性（JVN）

NEC Aterm の Wi-Fiポータブルルータやネットワークカメラ等複数製品に複数の脆弱性（JVN）

インシデント報告件数は前四半期から横ばい、「Webサイト改ざん」は増加（JPCERT/CC）

対象ソフト15種類の月例セキュリティ情報、早急な適用を呼びかけ（IPA、JPCERT/CC）

「Adobe Flash Player」に攻撃リスクが高い脆弱性、至急の対応を（JPCERT/CC、IPA）

インシデント・事故 記事一覧へ

スペイン企業運営のアンケートシステムへ不正アクセス、スマホ学習塾の個人情報流出（葵）

forTUNE music サイトメンテナンスの影響で他の会員情報を誤表示（ソニー・ミュージックマーケティング）

学校所有のUSBメモリを所定の手続きを行わずに無断使用し紛失（埼玉県）

日本の仮想通貨市場と関連法 ～ コインチェック事件が与えた影響

誤送信で東海4県の歯科医師と関係者のアドレス2,066名分が流出（科研製薬）

患者の個人情報が記録された可能性がある私用USBメモリを紛失（北里大学病院）

調査・レポート・白書 記事一覧へ

情報漏えいの平均コストは386万ドル、「ビジネス機会の喪失」が高い割合（IBMセキュリティー）

アジアは依然攻撃対象の中心 -- APTレポート（カスペルスキー）

３ヶ月で２０キロの体重変化、営業マンのＹ氏は顔認証システムを通過できたか

自動化の有効性は認識、課題は統合や管理（ジュニパーネットワークス）

マイニングマルウェアが前四半期から629％の大幅増--四半期レポート（マカフィー）

[学術研究] 主要セキュリティ対策の費用対効果ランキング

研修・セミナー・カンファレンス 記事一覧へ

[速報] 来週開催のFireEye社イベントの講演資料を事前入手

「CODE BLUE 2018」を10月29日～11月2日に開催、3種類のトラックを新設（CODE BLUE事務局）

6社14種のWAFルールをサブスクリプション利用可、進化拡大する AWS のセキュリティがもたらす影響は

LAC西本氏ら講演、JAIPA Cloud Conference 2018（JAIPA）

刑事司法と犯罪防止の学生向けハッカソン決勝戦を開催（シマンテック）

電力のセキュリティは国防にも関係 － イスラエル電力公社会長タル元少将講演

製品・サービス・業界動向 記事一覧へ

金融機関向けにFISC安全対策基準のAzure対応版を作成（SCSK）

旧ブラウザで最新PCI DSS準拠サイトへの広告を非表示にする技術（ソネット・メディア・ネットワークス）

制限付インターネットや閉域網向け「Cylance」発売（サイランス）

「GUARDIANWALL」のメールアーカイブ機能がクラウド化、Office365 を補完（キヤノンITS）

インパクトの大きい10大セキュリティプロジェクト（ガートナー ジャパン）

SDカードにセキュリティソフトの1年ライセンス付属（エレコム）

おしらせ 記事一覧へ

サイバーセキュリティ専門誌 ScanNetSecurity が創刊 20 周年記念し物理セキュリティジャンルに進出、自宅警備に特化した姉妹誌を4月1日新創刊

[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました

[配信予告] あの方に今年の Black Hat USA 2017 の見どころを聞きました

[配信予告] 新連載「Heart of Darknet - インターネット闇の奥」開始のおしらせ

[配信予告] 新連載「ペネトレーションテスターは見た！」開始のおしらせ

ScanNetSecurity 創刊 18 周年の御礼

日本の仮想通貨市場と関連法～コインチェック事件が与えた影響

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

日本の仮想通貨市場と関連法～コインチェック事件が与えた影響

調査・レポート・白書記事一覧へ

研修・セミナー・カンファレンス記事一覧へ

電力のセキュリティは国防にも関係－イスラエル電力公社会長タル元少将講演

製品・サービス・業界動向記事一覧へ

インパクトの大きい10大セキュリティプロジェクト（ガートナージャパン）

おしらせ記事一覧へ