IISCrackがISSサーバを攻撃　〜IISCrack Attacks IIS Servers〜

◆概要：
　バックドア型トロイの木馬であるIISCrackがマイクロソフト社のインターネット情報サービス（IIS）サーバーを攻撃している。このウイルスをコンピューターに侵入するためにシステムレベルのアクセスをリモート攻撃者に与えるダイナミックリンクライブラリ（DLL）ファイルであるとシマンテック社は報告している。

　感染したファイルを実行するユーザーが、スクリプトディレクトリーにファイルをコピーできるシステムレベルのアクセス権を持っていないとIISCrackは正しくインストールされない。IISCrackはDLLファイルをサーバーにコピーし、リモートでコンピューターにコマンドを送信する。IISCrackには、リモート攻撃者が感染したDLLファイルをコピーできるサーバへのアクセス権を取得するか、ユーザーがこのような動作をサポートする悪意のあるファイルを実行する必要がある。

◇別名：
Backdoor.IISCrack.dll

◆情報ソース：
・iDEFENSE Intelligence Operations, Feb.14, 2002
・Symantec Corp.
（ http://www.symantec.com/avcenter/venc/data/backdoor.iiscrack.dll.html ）,Feb. 13, 2002
・ Neophasis
（ http://archives.neohapsis.com/archives/sf/pentest/2001-08/0113.html ）, Aug.21, 2001

◆分析：
（iDEFENSE 米国）シマンテック社では、この新しい悪意のあるコードについてあまり多くの情報を提供していない。調査によると、シマンテック社は、2001年8月からIISCrackの報告に着手している。

　2001年8月21日、Entercept社が新しいIISの脆弱性に関する勧告を発表した。同日、IISCrackと呼ばれる新しいツールがダウンロード用に水面下でリリースされた。このツールは、水面下ではまだ幅広く入手でき、DDLの設定方法やIISサーバーへの感染攻撃方法などの指示も添付されている。

◆検知方法：
　スクリプトディレクトリーに新しいDLLがないかどうか、または異常な通信がないかどうかを確認する。

◆リカバリー方法：
　IISCrackに関連するすべてのファイルを削除する。IISCrackはトロイの木馬ウイルスであるため、侵入されたシステムに悪意のあるほかのコードがインストールされている可能性がある。この場合、ウイルスの完全な排除には、オペレーティングシステムの再インストールが必要な場合がある。

◆暫定処置：
　マイクロソフト社が公開している
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-044.aspからIISの累積パッチをインストールして、IISCrackおよび関連する攻撃に対する保護を行う。

◆ベンダー情報：
　シマンテック社のアンチウイルスソフトウェアは、現在この悪意のあるコードに対する駆除が可能である。ほかのアンチウイルスソフトウェアでも、経験則を用いてこのコードの検知が可能のようだ。

※この情報はアイ・ディフェンス・ジャパン
　（ http://www.idefense.co.jp/ ）より提供いただいております。
　情報の内容は以下の時点におけるものです。
　【20:47 GMT、02、14、2002】