日本のセキュリティチーム
マイクロソフトの最新のセキュリティ情報は、次のリソースで入手することができます。
小野寺です。
日本国内よりは、海外が主ですが、Conficker (Downadup)について、Microsoft Malware Protection Center (MMPC) Blogで良い記事が出ていたので、抄訳をこちらに掲載しておきます。追記(2009/2/27 Conficker.C の情報を、公開しました)
Conficker ワームに関するまとめ
マイクロソフトがセキュリティ更新プログラム MS08-067 を公開して以来、私たちは MS08-067の悪用に関する情報、具体的には Conficker ワームに関する情報を、Malware encyclopedia (英語情報) および複数のブログへの投稿で公開しています。 例をここで挙げますと、このブログ(訳注: MMPC Blog)で、マイクロソフトが Conficker ワームについて提供した情報および、このワームが悪用する脆弱性 (この脆弱性については MS08-067 で対策しています) の概要を提供しています。
まず、お客様に Conficker ワームがコンピューターに感染するために悪用する様々な攻撃の方法を、ご理解いただくことが重要であるため、様々な攻撃の方法の概要を説明します。 この分析に基づき、続いて、お客様がお客様自身を保護するために何ができるかについてのガイダンスを提供します。
最も重要なガイダンスとして、マイクロソフト セキュリティ情報 MS08-067 に関連するセキュリティ更新プログラムをまだ適用していない場合、直ちにこれを適用してください。 しかし、このワームは多数の追加の攻撃方法を使用するため、皆さんが、多層防御のアプローチを確立することを支援するための追加情報およびガイダンスを提供します。最後に、「マイクロソフト悪意のあるソフトウェアの削除ツール」を使用してコンピューターからワームを駆除する方法に関する情報およびポインターを提供します。
ここで、このワームの蔓延方法を分析に話を戻します。 現在までのところ、"in the wild"の状態で確認されたものはこのワームの 2 つの変種のみです。 まず 1 番目は Worm:Win32/Conficker.A (英語情報) で、2008 年 11 月 21 日に報告され、MS08-067 のセキュリティ更新プログラムにより解決された脆弱性を悪用することによってのみ蔓延します。 この変種はウクライナ語版のキーボードの配列を使用するコンピューターは感染しないため、マルウェアの開発者はウクライナに本拠地を置くのではないかと疑われていました。 Worm:Win32/Conficker.B (英語情報) が 2 番目の変種で、これは 2008 年12月29日に報告されました。この変種は複数の蔓延方法を使用します。
さらに、Conficker はいくつかの構成変更を行うため、Windows を起動した際には常に実行します。特に、サービスとしてそれ自身を追加し、HKCU\Software\Microsoft\Windows\CurrentVersion\Run の下にレジストリ値を追加します。また、さまざまなサービスを終了させ、再起動させようとします。詳細情報は こちら (英語情報) をご覧ください。同様に、Worm:Win32/Conficker.B は、ウイルス対策プログラムまたは他のセキュリティ ソフトウェアと思われる名称が含まれているプロセスのすべてを終了させようとします。さらに、ウイルス対策およびセキュリティ ベンダー企業の多くの Web サイト、そして Windows Update のサイトへのアクセスを禁止します。このワームはさらに追加のステップを実行します。マイクロソフトの encyclopedia (英語情報) で詳細をご覧ください。これらの蔓延方法を考慮した場合、本ワームに感染するリスクを最小限に抑えるために、お客様に複数の措置を講じていただく必要があります。
本脅威にネットワークが感染した場合、上記のステップを行い、環境を強化してください。その後、サポート技術情報 KB 962007 の MSRT により、ステップ バイ ステップの手順で駆除してください。
小野寺です
今年最初のセキュリティリリースは、事前通知からの変更はなく、予定通り、計 1 件 (緊急 1 件)となります。
セキュリティ情報 (新規):概要情報、展開に関する情報、およびExploitability Indexは、以下のサイトにまとめています。http://www.microsoft.com/japan/technet/security/bulletin/ms09-jan.mspx
毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、1/14の午後に以下のサイトと、このBlogでの公開を予定しています。http://technet.microsoft.com/ja-jp/dd251169.aspx
MS09-001 (SMB):特別に細工されたSMBパケットを受信する事で、認証を必要とせずに、リモートでコードが実行される可能性があります。本来であれば、この脆弱性は、非常に危険度の高いもとなり、昨年10月に緊急リリースした MS08-067 と比べて危険度がどの程度なのか気になるところだと思います。 現時点で、Microsoft社内の脆弱性分析を専門に行っているSWIの分析では、脆弱性を悪用した攻撃をおこなっても、「サービス拒否」の状態にしかなず、実際にコードが動作する攻撃コードを作成する事は非常に難しいと考えています。しかし、脆弱性として理論的にコード実行が可能ですので、緊急と評価しており、実効性のあるコードが発見悪用される前にセキュリティ更新プログラムを適用する事を推奨します。
悪意のあるソフトウェアの削除ツール (MSRT):今月は、Banload および MS08-067 を悪用する Conficker に対応しています。すでに、報道にも有る通り、MS08-067の適用が(たぶん、事情により)行えなかった企業環境で、幾つか感染事例が確認されています。MS08-067が適用されていない、企業ネットワーク内で感染PCが一台でもあれば、ネットワークを通じて感染が広がりやすいネットワーク感染型のワームということもあり、今回MSRTでも、Confickerに対応する事としました。
また、この Conficker は、MS08-067 の脆弱性だけだはなく、「脆弱なパスワードが設定された管理者アカウントへのログオン試行」や、「マップされたドライブ(リムーバブルドライブなど)に対する自動再生ファイルの設置」等の感染方法も併用するため、脆弱性とは別に、一般的なウイルス対策にの隙をついても感染を広げます。技術的な詳細については、このブログの Conficker.B に記載してあります。
さて、MSRT を企業内で活用する場合、WSUS 等が導入されている場合は、自動更新で配信されるため非常に容易に利用可能です。 しかし、そのような環境ではない場合は、以下のサポート技術情報を参考に、使用する事が可能です。
企業環境での Microsoft Windows 悪意のあるソフトウェアの削除ツールの展開http://support.microsoft.com/kb/891716/
悪意のあるソフトウェアの削除ツールの入手方法自体は、以下のサイトをご覧ください。http://www.microsoft.com/japan/security/malwareremove/default.mspx
2009年1月のワンポイントセキュリティを公開しました。
2009年1月のワンポイントセキュリティ情報は、過去のワンポイント セキュリティ情報のサイトより、フルサイズ版・縮小版ビデオや音声版ダウンロードファイルでご利用可能です。
最新のワンポイント セキュリティ情報は、今月のワンポイント セキュリティ情報からご視聴いただけます。
先ほど、2009年 IT Security Award のクイズ出題を開始しました。監督賞、主援賞、作品賞の3つのコースがあり、すべてのコースで豪華(だと私はおもっている)賞品と、最優秀者への表彰とトロフィーを準備しています。
皆様の挑戦をおまちしています。挑戦は何度でも行えますので、100点が取れるまで挑戦してみてください。http://www.microsoft.com/japan/technet/security/award/2009/default.mspx(ちなみに、クイズサイトはSilverlightでつくってあります)
小野寺ですMicrosoft MVPでもある まっちゃさんとはなずきんさん に声をかけていただいて久しぶりに、セキュリティ勉強会に参加してきました。今回参加したのは、1/17に京都で行われた 「第17回 まっちゃ139」ですが、その一こまを頂いて、セキュリティ インテリジェンス レポート等から見えてるセキュリティの状況などを少しお話させていただきました。(詳細は、http://d.hatena.ne.jp/ripjyr/20090119/1232299639)
この日も各地で色々な勉強会が30以上並行で行われており、その活発さに驚かされます。 内容も幅広く、誰でも入っていきやすい雰囲気は独特だと思います。
今週末も、香川県で、新しいセキュリティ勉強会 「セキュリティうどん(かまたま)」の第1回が行われます。セッションも各分野の一人者を読んでおり���こういう人たちに会えるのも勉強会の醍醐味かもしれませんね。 お近くの方は、一度参加されては？キット世界が人がります。
最近、ワームの関するものが多くなっていましたが、ワームへの感染もふくめて、事件・事故に合わないために・・・ということで、「知っとく！なっとく！親子トクトク 情報セキュリティ・ワークショップ」を近日おこないます。
タイトルにもある通り、子供とその親が対象です。最近ですと、小学校に入るころにはほぼ自由に使えているようです。しかし、その使い方は、利用のモラル、情報の取捨、自己防衛の方法は知らないと思いますし、それを子供に正しく伝えることは、大人でも難しいようです。
今までも、この部分の啓発には取り組んできましたが、今年はTBS, Yahoo, Microsoft共同で、今までと少し違った形で、ワークショップを開催することにしました。
http://www.tbs.co.jp/kids/workshop/security_ws.html
ＴＢＳアナウンサーの青木裕子さん、または新井麻希さんの司会で、親子ともども楽しめる形になっています。
いつもと違う休日の過ごし方として、いかがですか？
今年最初のセキュリティリリースは、計 1 件 (緊急 1 件) の公開を予定しています。リリース日は、週明け水曜日 (1/14) です。日本では、1/12が成人の日で祝日ですので、本日が2営業日前となりますが マイクロソフト本社のある米国のカレンダーを基準にしますので、本日の事前通知となります。
公開予定の詳細は、以下の事前通知のサイトをご覧ください。http://www.microsoft.com/japan/technet/security/bulletin/ms09-jan.mspx
Windows
緊急リモートでコードが実行される
要再起動
Microsoft Windows
Conficker.B の新亜種 Conficker.B の詳細については、MMPC (Microsoft Malware Protection Center) に掲載していますが、現状日本語情報が無いため、こちらにAnalysisの抄訳を掲載しておきます。原典は、http://www.microsoft.com/security/portal/Entry.aspx?name=Worm%3aWin32%2fConficker.B となります。
技術的な情報
Worm:Win32/Conficker.B は Windows Server サービス (SVCHOST.EXE) の脆弱性を悪用して、ネットワーク上で別のコンピューターを感染させるワームです。
ファイル共有を有効にしている場合、この脆弱性が悪用され、リモートでコードが実行される可能性があります。また、リムーバブル ドライブで蔓延し、管理者パスワードを脆弱にする場合があります。いくつかの重要なシステム サービスやセキュリティ製品が無効になります。
感染
Worm:Win32/Conficker.B は、Windows のシステム フォルダーに <random>.dll の名を使用し、それ自身を隠し DLL ファイルとしてコピーします。悪用に失敗すると、次のフォルダーに同じパラメーターでそれ自身をコピーするよう試行します。
%ProgramFiles%\Internet Explorer%ProgramFiles%\Movie Maker
次のレジストリ エントリを作成して、Windows が起動した際に、ドロップされたコピーを常に実行させます。
値の追加: "<random string>"データ: "rundll32.exe <system folder>\<malware file name>.dll,<malware parameters>"サブキー: HKCU\Software\Microsoft\Windows\CurrentVersion\Run
また、システム ファイル svchost.exe が netsvcs グループを読み込む時に、起動しているサービスとしてそれ自身をロードします。
さらに、次のキーでそれ自身を登録して、偽のサービスとしてロードする可能性があります:
HKLM\SYSTEM\CurrentControlSet\Services
次の文字列から 2 種類を組み合わせて作成した表示名を使用する可能性があります:
BootCenterConfigDriverHelperImageInstallerManagerMicrosoftMonitorNetworkSecurityServerShellSupportSystemTaskTimeUniversalUpdateWindows
また、表示名を作成するため、文字をランダムに組み合わせる可能性があります。
蔓延方法
脆弱なパスワードが含まれている共有ネットワークを悪用する
Worm:Win32/Conficker.B は、脆弱な ADMIN$ の共有パスワードが含まれているネットワーク内のマシンを感染させようとします。次のパスワードを使用し、このようなシステムへ管理者ログインを試行します。
123123412345123456123456712345678123456789123456789012312312321123321123abc123qwe123asd1234abcd1234qwer1q2w3ea1b2c3adminAdminadministratornimdaqwewqqweewqqwertyqweasdasdsaasddsaasdzxcasdfghqweasdzxcq1w2e3qazwsxqazwsxedczxcxzzxccxzzxcvbzxcvbnpasswdpasswordPasswordloginLoginpassmypassmypasswordadminadminrootrootroottesttesttesttemptemptempfoofoofoobardefaultpassword1password12password123admin1admin12admin123pass1pass12pass123root123pw123abc123qwe123test123temp123mypc123home123work123boss123love123sampleexampleinternetInternetnopassnopasswordnothingihavenopasstemporarymanagerbusinessoraclelotusdatabasebackupownercomputerserversecretsupersharesuperusersupervisorofficeshadowsystempublicsecuresecuritydesktopchangemecodenamecodewordnobodyclustercustomerexchangeexplorercampusmoneyaccessdomainletmeinletitbeanythingunknownmonitorwindowsfilesacademiaaccountstudentfreedomforevercookiecoffeemarketprivategameskillercontrollerintranetworkhomejobfoowebfilesqlaaaaaaaaaaaaqqqqqqqqqqqqxxxxxxxxxxxxzzzzzzzzzzzzfuck1221321432154321654321765432187654321987654321098765432100000000000000000000000000000000000111111111111111111111111111111111111222222222222222222222222222222222222333333333333333333333333333333333333444444444444444444444444444444444444555555555555555555555555555555555555666666666666666666666666666666666666777777777777777777777777777777777777888888888888888888888888888888888888999999999999999999999999999999999999
Win32/Conficker.B がマシンへのログオンに成功した場合、アクセス可能な admin の共有に、ADMIN$\System32\<random letters>.dll としてそれ自身をコピーします。このワームはリモートでジョブ スケジュールを作成 (コマンド - “rundll32.exe <malware file name>.dll,<malware parameters>")、コピーを有効にします。
マップされたドライブ
Worm:Win32/Conficker.B は、<random> ファイル名を使用して、すべてのマップされたドライブにそれ自身をコピーします。このワームはマップされたドライブのルートに 'RECYCLER' という名称のフォルダーを作成します。 Windows XP またはそれ以前のバージョンでは、フォルダー "RECYCLER" は "Recycle Bin" と示されます。次に、このワームは次のようにそれ自身をコピーします:
<drive:>\RECYCLER\S-%d-%d-%d-%d%d%d-%d%d%d-%d%d%d-%d\<random letters>.dll
%d の部分は文字がランダムに選択されます。このワームは関連の autorun.inf ファイルをドロップするので、ドライブのアクセスおよび自動再生機能が有効になった場合、自動でワームのコピーが実行されます。
MS08-067 HTTP 'コール バック'
システムで蔓延する Worm:Win32/Conficker.B について、Windows Server サービス (SVCHOST.EXE) の脆弱性に対してセキュリティ更新プログラムを適用しておらず、脆弱性が悪用された場合、このワームが標的のコンピューターに侵入し、1024 から 10000 の間のランダム ポートを開き、HTTP プロトコルを介してホストコンピューターからワームのコピーをダウンロードします。この脆弱性に関する説明は、Microsoft Security Bulletin MS08-067 をご覧ください。
ペイロード
システムの構成を変更する
Worm:Win32/Conficker.B はシステム構成を変更するので、ユーザーは隠しファイルを表示できません。次のレジストリ エントリを変更して実行します。
値の追加: "CheckedValue"データ: "0"サブキー: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL
システムの TCP 構成を変更し、多くの同時接続を許可します (0x00FFFFFE は 16 進で、16,777,214 デシマル値です)。
値の追加: "TcpNumConnections"データ: "0x00FFFFFE"サブキー: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
このワームは一時ファイルをドロップし、変更を有効にするために TCP/IP を再起動させようとします。このドロップされたファイルは Trojan:WinNT/Conficker.B として検出されました。
サービスの終了および無効化
Worm:Win32/Conficker.B は、次のような重要なシステム サービスをいくつか終了させます。
Windows Update ServiceBackground Intelligent Transfer ServiceWindows DefenderWindows Error Reporting Services
Win32/Conficker.B は Windows Defender 向けのレジストリ キーを削除し、システムが起動した際に実行させないようにし、Windows Vista TCP/IP の自己調整を無効にします。
また、次のいずれかの文字列が含まれるモジュール名を持つプロセスが、ネットワーク トラフィックまたはデータに送信できなくなります。 (文字列のほとんどがウイルス対策およびセキュリティ ソフトウェアに関連しているため、署名のアップデートの入手が事実上不可能になり、ユーザーがこれらの文字列を含む URL の Web サイトにアクセスできなくなることに注意してください):
virusspywaremalwarerootkitdefendermicrosoftsymantecnortonmcafeetrendmicrosophospandaetrustnetworkassociatescomputerassociatesf-securekasperskyjottif-protnod32esetgrisoftdrwebcentralcommandahnlabesafeavastaviraquickhealcomodoclamavewidofortinetgdatahacksofthauriikarusk7computingnormanpctoolsprevxrisingsecurecomputingsunbeltemsisoftarcabitcpsecurespamhauscastlecopsthreatexpertwilderssecuritywindowsupdate
システムの復元ポイントをリセットする
Win32/Conficker.B は、コンピューターのシステムの復元ポイントをリセットする場合があり、システムの復元を使用するリカバリに失敗する可能性があります。
インターネット接続を確認する
Win32/Conficker.B はシステムがインターネット接続されているかを確認するため、次の Web サイトへの接続を試行します:
aol.com
cnn.com
ebay.com
msn.com
myspace.com
任意のファイルをダウンロードする
システムの日付により、Win32/Conficker.B は、ファイルをダウンロードするため、次のフォーマットのように 2009 年 1 月 1 日付で URL を構築する可能性があります。
http://<pseudo-random generated URL>/search?q=%d
生成された URL は、現在のシステムの日付が基になります。
構築された URL は、次の最上位のドメインのいずれかひとつを使用します:
.cc
.cn
.ws
.com
.net
.org
.info
.biz
構築された URL の例は以下の通りです:
aaovt.comaasmlhzbpqe.comaddgv.comajsxarj.orgapwzjq.wsaradfkyqv.orgarztiwbeh.ccbaixumxhmks.wsbfwtjrto.orgbfwvzxd.infobmaeqlhulq.ccbyiiureq.cncbizghsq.cccbkenfa.orgciabjhmosz.cccruutiitz.comctnlczp.orgctohyudfbm.cndcopyoojw.comdjdgnrbacwt.wsdmwemynbrmz.orgdofmrfqvis.cndoxkknuq.orgdozjritemv.infodyjsialozl.wseaieijqcqlv.orgeewxsvtkyn.neteidqdorgmbr.neteiqzepxacyb.cnejdmzbzzaos.bizejmxd.comejzrcqqw.netekusgwp.cceprhdsudnnh.bizevmwgi.wsfalru.netfctkztzhyr.orgfdkjan.netfhfntt.orgfhspuip.bizfjpzgrf.netfkzdr.cnftjggny.comfuimrawg.infoghdokt.cnglbmkbmdax.bizgmhkdp.orggocpopuklm.orggrwemw.bizgtzaick.ccgxzlgsoa.infogypqfjho.infohduyjkrouop.infohfgxlzjbfka.bizhkgzoi.comhliteqmjyb.nethmdtv.wshoyolhmnzbs.nethprfux.cchqbttlqr.orghueminaii.orghvogkfiq.infoifylodtv.wsiivsjpfumd.wsilksbuv.cnimuez.bizizxvu.bizjaumgubte.bizjhbeiiizlfk.cnjrdzx.ccjshkqnnkeao.bizjudhei.comjxfiysai.ccjzoowlbehqn.infokarhhse.comkbyjkjkbb.infokjsxokxg.orgkrudjhvk.orgkuiwtbfa.orglauowjef.cnlhirjymcod.netliugwg.netlksvlouw.wsllgkuclk.infolnpsesbcm.cnlssvxqkqfmf.orglygskbx.ccmafwkeat.cnmgqrrsxhnj.commhklpsbuh.ccmknuzwq.ccmqjkzbov.netmyfhc.comnavjrj.orgnbpykcdsoms.comncbeaucjxd.orgnpfxmztnaw.cnnuiptipwjj.ccnvpmfnlsh.wsoagwongs.wsodvsz.netokkpuzqck.wsoqolfrjq.cnorduhippw.cnorpngykld.comorxfq.wsothobnrx.orgotnqqaclsgx.infootukeesevg.bizpbfhhhvzkp.ccpbpigz.cnpcnpxbg.ccpdfrbmxh.bizpfdthjxs.ccphaems.ccphetxwmjqsj.ccpmanbkyshj.wspnjlx.ccppzwqcdc.ccpsabcdq.ccptdlwsi.cnpvowgkgjmu.bizpwsjbdkdewv.infoqbuic.comqdteltj.orgqeotxrp.comqfeqsagbjs.bizqfhqgciz.orgqfogch.comqijztpxaxk.cnqlqrgqordj.wsqpiivu.cnqpuowsw.ccqqbbg.ccqrrzna.netqvrgznvvwz.wsqwdervbq.orgqwnydyb.ccqzbpqbhzmp.comrkfdx.orgrpphv.orgrskvraofl.inforyruatsot.bizsdkhznqj.infosezpo.orgsfozmwybm.comskwmyjq.orgsolmpem.comsqmsrvnjits.ccstlgegbye.netsyryb.orgtdwrkv.wstfpazwas.cctigeseo.orgtjyhrcfxuc.cntkbyxr.wstlmncy.cntmlwmvv.wstnerivsvs.nettomxoa.orgtrpkeyqapp.nettyjtkayz.comuazlwwiv.orgucgqvyjgpk.cnuixvflbyoyi.bizujawdcoqgs.orgupxva.netuuvjh.bizuzugvbnvs.cnvgmkhtux.wsvjllpcucnp.cnvkgxgxto.comvwiualt.comwaxggypgu.orgwccckyfrtf.netwfdnvlrcb.orgwhjworuc.comwmiwxt.bizwohms.bizwqqfbutswyf.infowsdlzmpbwhj.netxiclytmeger.ccxkjdzqbxg.cnxldbmaztfu.bizxlwcv.cnxqbovbdzjz.infoxwbubjmhinr.infoyfpdcquil.infoyfybk.wsyhrpqjhp.bizyoblqeruib.orgyoyze.ccyshpve.ccysrixiwyd.comytfvksowgul.orgywsrtetv.orgyzymygez.bizzcwjkxynr.comzfgufbxi.netzkimm.infozmoeuxuh.wszokxy.netzqrsbqzhh.cczttykt.infozutykstmrxq.ws
システムの日付が 2009 年 1 月 1 日またはそれ以降であるかを確認します。また、次の Web サイトについて日付を確認しますが、おそらく検証のためであると考えられます。
baidu.comgoogle.comyahoo.commsn.comask.comw3.org