7月のインターネットセキュリティ脅威情報
情報提供：株式会社シマンテック【 今月の概況 】
今月も注意すべき脆弱性がいくつも公開され、ランク

DeepSight の脅威警告が発行された。特に Black-ワールドワイド

日本

Netsky.P

Netsky.P

Hat というイベントで報告された Cisco の IOS の脆

1

弱性についてはメディアでも大きく取り上げられ

2Tooso.J

Mytobて話題となった。先月に引き続きMytob ワームファ

3Lineage

Rants.A

4

Desktophijack

Mytob.AW

5

SpybotRedlof.A

6

Mytob.EE

Gaobot7Tooso.B

Webus.G

8

GaobotSacrepが発見された。さらに、今月は TPC のポート 2100

9FugifAhker.D番と 4321 番への攻撃が活発であることが Deep-

10Bancos

Mytob.EE

ミリーの亜種が数多く発見され、日本ではトップ 10に 3 つの亜種が報告された。また、今月の注目すべき悪意のあるコードとして W32.Toxbot.C、および日本で作成されたと考えられる Torojan.Sacrep

Sight で捕らえられた。このポートはともに Oracle

表 1：7 月の悪意のあるコードのトップ 10

XDB FTP サーバーの悪用に関連している。

【 新しく発見された主要な脆弱性 】■ Cisco IOS で の IPv6 の 処 理 に お ける 任 意 のモートから任意のコードを実行されたり、DoS 状■ Microsoft Word のフォント処理におけるバッコード実行の脆弱性態を引き起こされたりする可能性がある。

ファオーバーフローの脆弱性

ら任意のコードを実行できる脆弱性が存在する。

■ Windows のカラー管理モジュール ICC プロチェックバッファの脆弱性が存在する。異常に大この問題の原因は現在不明。脆弱なバージョンのファイルにバッファオーバーフローの脆弱性

きなフォント情報が Word 文書に追加されている

Microsoft Word のフォント解析処理部分に未Cisco IOS の IPv6 の処理の機能にリモートかIOS を実行する装置が論理的・物理的なインターWindows のカラー管理モジュールにバッファと、Word がそれを解析する際にバッファオーバーフェース上の同一セグメント上で捏造された IPv6オーバーフローの脆弱性があることが報告されてフローを発生し、スタック領域が破壊される。こパケットを処理する場合にこの問題が発生する。

いる。サポート対象となっているさまざまな画像の際、破壊されるスタックの値を適当に調整する

およびドキュメント形式の ICC（Internationalことで、任意のコードを実行できる可能性がある。

■複数の Oracle 製品の脆弱性に対するセキュリ

Color Consortium）プロファイルタグを解析す

ティアップデートる際に、境界条件のエラーが原因で発生する。

■ Mozilla Suite、Firefox と Thunderbird に複数の脆弱性

Oracle 製品およびそのコンポーネントに複数の脆弱性が公開された。複数の脆弱性により Oracle■ Sophos アンチウイルスライブラリーの予期しDatabase Server、Oracle Enterprise Man-ないヒープオーバーフローの脆弱性

Mozilla Foundation が Mozilla Suite、Firefox と Thunderbird に影響する 12 の脆弱性セ

Sophos のアンチウイルスライブラリーに予期キュリティアドバイザリーを公開した。この脆弱E-Business

しないリモートヒープオーバーフローの脆弱性が性 を 利 用 す る こ と で 、リ モ ート か ら Mozilla,Suite と Application、Oracle Workflow、Ora-存在する。この問題は内部メモリーバッファへデー

Firefox, Thunderbird を実行しているユーザー

cle Forms と Reports、 Oracle JInitiator、タをコピーする前にユーザーが入力したデータのの権限を取得される可能性がある。

Oracle Developer Suite、 Oracle Express

適切な境界チェックを行わないために発生する。

ager、 Oracle Application Server、 Oracle
Collaboration

Suite、 Oracle■インターネットエクスプローラの JPEG イメージレServer が影響を受けた。
■ MIT Kerberos 5 KRB5̲Recvauth におけるメ■ Zlib 圧縮ライブラリーのバッファオーバーフローMIT Kerberos5 に 含 ま れ るの脆弱性

ンダリング処理にバッファオーバーフローの脆弱性
インターネットエクスプローラの JPEG イメー

モリー二重解放の脆弱性
krb5̲rec-ジのレンダリング処理に脆弱性が発見された。こデータ圧縮ライブラリーとして広く利用されて

vauth() 関数はエラー処理のなかで、メモリーのの問題は固定サイズのメモリーバッファに入力いる zlib において、バッファオーバーフローを引二重解放をする可能性が存在する。結果として、データをコピーする前に適切な境界チェックをき起こす可能性のある脆弱性が発見された。同ラ

リモートから任意のコードが実行される可能性が行っていないために引き起こされる。

イブラリーの実装方法により影響は異なるが、リある。

120 │ INTERNET magazine │ 2005 │ 10 │インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D【 新しく発見された主要なウイルス 】
ロードして実行したり、機密のシステム情報をリスメールワームで感染したコンピュータ上にバッ

W32.Toxbot.C は 侵 入 先 の コ ン ピ ュ ー タ にモートの攻撃者に送信したりするトロイの木馬でクドアを作成する。また、亜種のいくつかはターIRC バックドアを開いたり、脆弱性を悪用して拡ある。この新しい亜種は短い間隔で自身を配布すゲットコンピュータ上に存在するリモート攻撃可散したりするワームで、以下の脆弱性を悪用する。

るサーバー上でポリモーフィック圧縮ユーティリ

能な脆弱性によって感染する機能も持っている。

・ UDP ポート 1433 を使用して、Microsoftティを使い、Abwiz.C を置き換えることにより、

SQL Server 2000 ま た は MSDE 2000

アンチウイルスのシグネチャによる検知を逃れる

W32.Mytob.IM@mm、W32.Mytob.JF@mm、audit の脆弱性 （マイクロソフトセキュリティための比較的斬新な方法を使っている。

W32.Mytob.IK@mm、W32.Mytob.HU@mm、■ W32.Toxbot.C

W32.Mytob.IH@mm、W32.Mytob.IG@mm、

情報 MS02-061 参照）
・Microsoft Windows DCOM RPC インター

W32.Mytob.IV@mm、W32.Mytob.HM1@mm、■ Trojan.Sacrep

フェースバッファオーバーランの脆弱性（マイクTrojan.Sacrep はキーストロークを記録してW32.Mytob.HO@mm、W32.Mytob.IE@mm、

ロソフトセキュリティ情報 MS03-026 参照）

盗んだ情報を前もって決められた電子メールアド

W32.Mytob.DU@mm、W32.Mytob.ET1@mm、・Microsoft Windows Local Security Auth-レスへ送信するトロイの木馬で、日本ではトップ

W32.Mytob.IM1@mm、W32.Mytob.IC@mm、ority Service のリモートバッファオーバーフ

10 の中にレポートされたが、他の国では報告され

W32.Mytob.IA@mm、W32.Mytob.HM@mm、ローの脆弱性（マイクロソフト セキュリティ情報なかった。このトロイの木馬は日本語をファイル

W32.Mytob.ID@mm、W32.Mytob.IB@mm、

MS04-011 参照）

名に使用し、日本で作成されたと思われる。

W32.Mytob.HY@mm、W32.Mytob.DM@mm、
W32.Mytob.DK@mm、W32.Mytob.HI@mm、・VERITAS Backup Exec エージェントブラウ■ W32.Mytob ファミリーザのリモートバッファオーバーフローの脆弱性■ Trojan.Abwiz.C
Trojan.Abwiz.C はリモートファイルをダウン

W32.Mytob.HH@mm、W32.Mytob.HG@mm、

今月は非常に多くの Mytob の亜種が発見され

W32.Mytob.HS@mm、W32.Mytob.GU@mm、た。この Mytob ファミリーは現在、TMS によっ

W32.Mytob.GT@mm、W32.Mytob.GX@mmて非常に高い割合で検知されている。Mytob はマ※センサーとは：インターネット上の不正な攻撃などの情報を提供する早期警告システム（Symantec DeepSight【 今月のセンサーの状況 】

Threat Management System）。全世界 180 か国以上、19,000 ものパートナーのもとにあるファイアウォールや侵入検知システムより収集した攻撃のデータを収集、分析することで、最新の攻撃情報や、パッチの情報、その対処法など

グラフ 1：7 月の攻撃トップ 15（IDS）を素早く提供するもの。

7 月も IDS のセンサーでは25020015010050

Generic HTTP Directory Traversal Attack
Generic WebDAV/Source Disclosere HTTP Header Request Attack
Generic X86 Buffer Overflow Attack
Generic WebDAV/Source Disclosere HTTP Header Request Attack
Generic HTTP Buffer Overflow Attack
Generic TCP Syn Flood Denial of Service Attack
Generic Cross-Site Scripting in URL Attack
Microsoft Indexing Server/Indexing Services ISAPI Buffer Overflow Attack
Microsoft SQL Server 2000 Resolution Service Stack Overflow Attack
Generic Invalid Web Request Event
Generic ICMP Unreachable Denial of Service Attack
Generic Malformed HTTP Message Header Attack
Nimda Incoming Worm Attack
Generic FTP Login Failure EventSQLExp Incoming Worm Attack

多くのワームや攻撃で利用さ れ る Generic HTTP
Directory

Traversal

Attack がトップに報告された。トップイベントに上がってくる攻撃の多くが、Webに関連する 80 番のポートに対する攻撃である。

0グラフ 2：7 月の攻撃を受けたポートトップ 15（ファイアウォール）Bot ネットワークが感染ホ
3500
3000
2500
2000
1500
1000
500
0

80 TCP/http/www World Wide Web HTTP/MyDoom.B/Beagle.BO
1433 TCP/mssqls Microsoft-SQL-Server
4899 TCP remote administrator server
22 TCP/SSH Remote Login Protocol
445 TCP/microsoftds Microsoft-DS/Win2k CIFS SMB
1025 TCP/listen network blackjack/listener RFS remote_file_sharing/Microsoft RPC
3306 TCP MySQL
10000 TCP/opwintrojan/ndmp OpWin Trojan/Network Data Management Protocol/Veritas BERemote9898 Dabber/monkeycom
2100 TCP amiganetfs/Oracle FTP
5554 Sasser FTP/SGI ESP HTTP
21 TCP File Transfer Protocol [Control]6129 DameWare Mini Remote
6101 TCP SynchroNet-rtc/Veritas Backup Exec
139 TCP/netbiosssn NETBIOS Session Service

インターネットマガジン／株式会社インプレスR&D

ストを増やすための活発な活動が今月の Firewall セン
サーのトップ 15 に見られる。以前公開された悪用可能な脆弱性に対するサービスおよび以前のワームの感染により開けられたバックドアが頻繁に狙われている。
これは攻撃者が可能な限り多くの感染したホストを集めようとしているためと思われる。

7 月のインターネッ
トセキュリティ脅威情報 │ INTERNET magazine │ 2005 │ 10 │ 121©1994-2007 Impress
R&D［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.