新種ワーム、2万台以上のコンピュータに感染（SANS 研究所）

　SANS研究所は、Microsoftのウェブサーバを稼動させている2万台以上のコンピュータが新種のインターネットワームに感染していると報告した。しかし、そう恐れることはないようだ。コンピュータを再起動するだけで、その悪意あるプログラムを除去できるという。同研究所

国際海外情報

2001.7.26 Thu 12:00

　SANS研究所は、Microsoftのウェブサーバを稼動させている2万台以上のコンピュータが新種のインターネットワームに感染していると報告した。しかし、そう恐れることはないようだ。コンピュータを再起動するだけで、その悪意あるプログラムを除去できるという。同研究所によると、7月13日に問題のワームCode Redが最初に確認されて以来、 MicrosoftのIISを稼動させている2万2000台以上のシステムが被害に遭った。同ワームは、先月（6月）eEye Digital Security社により発見されたIISの.ida バッファオーバーフロー脆弱性を利用して感染する。尚、Microsoft社は既にその脆弱性に対するパッチを公開した。

　Code Red はIISサーバに感染後、赤い文字で次のような内容のメッセージを表示する。“ようこそ、 http://www.worm.com ! 中国人にハッキングされました！”。そして、同ワームはインターネット上で無防備な他のIISシステムへの感染を試み、自己増殖を図る。eEye Digital Security社のハッキング対策担当責任者Marc Maiffret氏は「同ワームはMicrosoftのオペレーティング・システム Windows NT および Windows 2000 の英語版を稼動させているサーバのみに感染するよう設計されている。相当にずる賢いワームだ。英語版以外のサーバと認識すると、ワームはサイトの改ざんも自己増殖も行わない」と述べた。

　また、サイトが同ワームに感染しても、すぐには気づかない恐れがある。何故なら、自己増殖を行ってから、同ワームの悪質な書き換えペイロードが実行されるからだ。同ワームの検出を複雑にしているもう一つの要因は、同ワームはメモリー常駐型で、バッファオーバーフロー・コードに追加されたコード上で動作する点だ。結果、同ワームはウイルス対策ソフトにより検出される署名を含むファイルをハードディスクに残さない。しかし、一旦IISシステムを再起動すると、その悪質なコードは除去されるとMaiffret氏は説明した。また、一部のシステムでは、同ワームは膨大なリソースを消費しサーバの機能を停止させるため、事実上自滅すると付け加えた。