概要
猛暑が記録された 7月、トロイの木馬 Trojan.Stuxnet の出現と感染拡大が記録されました。このウイルスは自動実行の仕組みを利用してリムーバブルメディアから起動し、また有名なソフトウェア企業の電子署名を盗用しています。全体的な傾向としては、ブートキットの手法を使ったマルウェアが一般的になってきています。なお、Windows ブロッカーは、対策が功を奏し被害が収束しつつあります。現在、犯罪者は、ユーザから不正に現金を得るための支払い手段として、有料ショートメッセージ（SMS）の代わりになるものを探しているようです。
Windows のショートカットファイルに関する脆弱性を狙った Trojan.Stuxnet
7月、新しい動きとして、Doctor Web, Ltd. により Trojan.Stuxnet として分類されるウイルスが記録されました。アンチウイルスベンダーは、この新型ウイルスの対応に注力することとなりました。 Trojan.Stuxnet は Windows OS の未知のセキュリティ脆弱性を突いて感染拡大し、保護メカニズムを欺くいくつかの手法を持っています。このタイプのウイルスとして Trojan.Stuxnet.1 が最初に記録されました。
トロイの木馬 Trojan.Stuxnet.1 はシステム内に 2つのドライバーをインストールします。 1つ目のファイルシステムのドライバーフィルタは、リムーバブルメディア上のマルウェアコンポーネントの存在を隠します。 2つ目のドライバーは、システムプロセスやメインタスク用のプログラムに必要な暗号化されたダイナミックライブラリを実装するために利用されます。
Trojan.Stuxnet はいくつかの脅威を持っており、そのうちの 1つとして、すでに述べたショートカットファイルの処理方法の欠陥による Windows の脆弱性の悪用があります。しかしながら、マイクロソフトが即座にこの脆弱性の発見に反応したことには留意するべきです。マイクロソフトによると、Windows 7 / Vista / XP および Windows Server 2008 R2 / 2008 / 2003 (32、64 ビット版)の OS に影響があります。攻撃者は、不正なプログラムをリモートで実行するために、この脆弱性を利用します。さらに、ショートカットを内蔵した特定のタイプのドキュメント内に悪質なコードを埋め込み、発見された脆弱性を利用してばらまくことができます。
2010年 8月 2日、マイクロソフトは Windows のすべての影響するバージョンに対し、重要なパッチをリリースしました。自動更新が有効になっているシステムは、自動的にパッチがインストールされます。そして、変更を反映するためにはコンピュータの再起動が伴います。
Trojan.Stuxnet の作成者による脅威はこれで終わりではありませんでした。トロイの木馬 Trojan.Stuxnet.1 がシステムにインストールするドライバーは、合法なソフトウェア会社から盗んだ電子署名が施されていました。7月、Realtek Semiconductor 社と JMicron Technology 社といった企業が所有する電子署名の悪用が発覚し、攻撃者は、標的のシステムにこっそりとドライバーをインストールすることに利用していました。
ドライバーを目につかないようにインストールするために電子署名が利用されていましたが、 Windows シェルの脆弱性を悪用してリムーバブルメディアから起動する悪質なファイルにもまた電子署名を利用しています。しかし、電子署名のために実行ファイルを改変するため、ファイル起動直後の改ざんチェックの段階で、その署名は無効なものになるでしょう。
Trojan.Stuxnet.1 を模倣したウイルスが、すぐに出現しましたが、そのようなプログラムは、 Doctor Web, Ltd. では全て Exploit.Cpllnk として定義されます。わずか数日間で、このウイルスは、7月にユーザマシンで検出された TOP 20 ランキングのトップに位置し、 Trojan.Stuxnet.1 は 6番目に多く検出されたウイルスとなりました。
現在、この脆弱性を利用した悪質なプログラムの大規模な感染拡大が発生しており、おそらく、マイクロソフトがリリースしたパッチがほとんどのコンピュータにインストールされまで、この傾向はしばらく続くでしょう。Doctor Web, Ltd. では、この新しい脅威の出現に対し、ウイルスデータベースに即座に感染したシステムを修復するための処理を追加しました。
ブートキットの大規模な使用
ブートキットは、ディスクのブートセクターを変更する悪意のあるプログラムで、マルウェアの標準のコンポーネントとなってきています。悪意のあるコードを検出する標準ツールは、ブートセクターの変更を明らかにできず、ディスク上のマルウェアを見つける事しかできません。このような場合、感染を修復したとしても再びウイルスがシステム中に侵入するでしょう。脅威を完全に修復する唯一の方法は、ブートセクターを感染前の状態に復元する事です。
いくつかの包括的なアンチウイルス製品では、ブートセクターの変更を明確にし、感染したシステムを完全に修復することが可能です。大抵の場合、アンチウイルス製品の開発者は、専用のツールを利用して問題を解決することをユーザにお勧めします。しかし、ユーザが、利用しているアンチウイルス製品が、"システムのブートセクターの変更が検出できない"ということを認識しない限り、問題解決のための他の方法を探し始めないという問題点があります。
7月、 Trojan.Hashish として登録されているブートキットは、ユーザを悩ませました。 Trojan.Hashish は、主にヨーロッパ圏で猛威を振るっていました。このトロイの木馬は、Internet Explorer を自動的に開き、広告を表示する挙動を見せます。さらに、代わりのブラウザを使用したとしても、これらのウィンドウは開きます。Trojan.Hashish の他の挙動としては、Windows で構成されている場合に、プログラムの起動に合わせて、標準のサウンドシステムの断続的な再生があります。
Windows ブロッカーの収束
Doctor Web, Ltd. の統計情報サーバによると、 7月は 280,000件の Windows ブロッカーを検出し、6月の検出数の 420,000件から収束し続けています。これは、ユーザと Dr.Web Ltd. を含むアンチウイルス開発者が共に対応した成果によるところが大きいです。対策が進むにつれ、犯罪者達は現金を得るための別な方法を計画し、新たなオンライン決済システムを利用して、ユーザに対しロックを解除するための現金の様々な支払い方法を提供し始めています。
ブロックされたアプリケーションのうち、ソーシャルネットワークサイト、 Web メールのサービス、および検索サイトといった人気サイトに関連する報告がかなり増加しており、7月の下旬にはその件数が Windows デスクトップのブロッキングに関する報告件数を越えました。
将来的には、拡散したブロッカーが緩やかに減少していくと期待できます。なぜなら、SMS の使用による支払い方法は今となっては効果的でなく、警察機関がこの問題により多くに注意を向けているからです。さらに、犯罪者に現金を支払わなくとも、コンピュータのロックを解除する代替手段があるという知識を持つユーザ数が着実に増加している事からも予想できます。
その他の悪意のあるプログラム
メールを介した Trojan.Oficla の亜種の大規模な感染拡大は、依然続いています。また、 JS.Redirector を含むHTMLファイルが添付されたスパムメールもトラフィック中からまだ見つかっています。ユーザは、このメールによって広告や悪意を持ったサイトへ接続させられてしまいます。Win32.Sector の亜種は、様々な形での活動の増加を見せていました。7月中、Doctor Web, Ltd. は複雑で多様な形を持つウイルスのシステム処理に焦点を合わせ、開発者はこのタイプのウイルスの検出アルゴリズムを最適化しました。ヨーロッパ圏のユーザは、インターネットバンクを狙うトロイの木馬に悩み続けており、使い捨ての TAN コードの導入を強いられています（詳細は、先月のレビューをご覧ください）。また、偽アンチウイルスの新しいパターンも、いまだ出現しています。
結論として、7月はウイルスソフトの開発者やユーザにとって、解決できないような問題は発生しませんでした。Windows のショートカットの脆弱性を利用したウイルスの活動は、 Exploit.Cpllnk として定義され、マイクロソフトによるパッチの迅速なリリースで減少していくでしょう。現在、マルウェアに共通する特徴として bootkits が挙げられ、アンチウイルスベンダーとしては、個々のウイルスを検出するより、総合的な解決策としてブートセクターの変更を検出する能力を組み込まなければならないでしょう。統計では、Windows ブロッカーに対し実施された包括的な対策が効果的であったという事を示しています。
ウイルスデータベース・アンチスパムエンジン情報、ウイルス統計
ウイルスデータベースの登録数
2010年 7月に新たにウイルスデータベースに登録されたマルウェアの件数は 55,035件です。これにより 7月末時点での登録総数は 1,578,149件となりました。
※ 検出ミスあるいは誤検出したファイルは ウイルス検体・誤検出ファイルのご提供 からご提供ください。
アンチスパムエンジンの更新
2010年 7月のアンチスパムエンジンの更新・配信は 43回でした。
※ 検出ミスあるいは誤検出したメールは 迷惑メール・誤検出メールのご提供 からご提供ください。
ウイルス統計
以下は 2010年 7月の 1ヶ月間にメールサーバ上で検出されたメールウイルスのトップ 10 の名称とその割合です（カッコ内は感染数全体に対する比率）。
1. Trojan.Oficla.38 (29.38%)
2. Trojan.MulDrop1.27707 (12.60%)
3. Trojan.Oficla.zip ( 8.84%)
4. Trojan.Oficla.33 ( 4.01%)
5. Trojan.Siggen1.33477 ( 3.46%)
6. Win32.HLLW.Shadow.based ( 3.02%)
7. Trojan.DownLoad1.58681 ( 2.85%)
8. Trojan.Botnetlog.zip ( 2.78%)
9. Trojan.Oficla.45 ( 2.08%)
10. Trojan.Winlock.1651 ( 1.77%)
※ 検査総数：11,135,769,221通、うち感染数：1,901,822通
以下は 2010年 7月の 1ヶ月間にユーザの PC 上で検出されたウイルスのトップ 10 の名称とその割合です（カッコ内は感染数全体に対する比率）。
1. Exploit.Cpllnk (5.94%)
2. Trojan.Siggen.29465 (5.69%)
3. Trojan.AuxSpy.229 (5.29%)
4. Win32.HLLP.PissOff.36864 (3.21%)
5. Win32.HLLW.Gavir.ini (3.09%)
6. Trojan.Stuxnet.1 (2.93%)
7. Win32.HLLW.Shadow.based (2.82%)
8. Trojan.DownLoad.32973 (2.27%)
9. Win32.HLLW.Autoruner.5555 (2.22%)
10. Trojan.PWS.Siggen.2674 (2.15%)
※ 検査総数：61,372,607,281ファイル、うち感染数：7,966,770ファイル
2010年 8月 11日掲載（原文は http://news.drweb.com/show/?i=1229&lng=en&c=5）
]]> 
