FreeBSD 上で稼動する Apache をねらうワーム Scalper が発生

　2002年6月18日発表された WEB サーバ Apache の脆弱性をねらうワームが早くも登場した。
　Apache は、もっともよく使われている WEB サーバアプリケーションであり、国内の co.jp ドメインのうち 82% が利用している。
( https://www.netsecurity.ne.jp/article/1/4298.html )
Scan Incident Report によれば、自治体でも約13% が利用しているという。
（ http://vagabond.co.jp/c2/sir/index.htm ）

　18日に発表された脆弱性は、DoS 攻撃や任意のコードの実行が可能という深刻なものであった。
　すでに、セキュリティ上の問題を解決したバージョンやパッチなどが公開されている。

　シマンテック社、トレンドマイクロ社、エフセキュア社などアンチウィルスベンダ各社が Scalper に関する情報をあいついで公開した。

　今回、発見されたワームは、FreeBSD 上で動作するものである。
　このワームは、IPアドレスの最初の部分を固定とし、次をランダムに生成、3番目と4番目は、ひとつづつ増加させて攻撃対象となる IP アドレスを探索する。

　攻撃対象IPアドレスの生成方法の例：
　　生成されたIPアドレス　11:222:333:444
　　11　固定
　　222　ランダムに生成
　　333　ひとつづつ増加
　　444　ひとつづつ増加

　探索方法は、HTTPのGETリクエストを攻撃対象のIPアドレスに送りつけ、Apache サーバを発見すると、バッファオーバーフロー脆弱性をついて自分自身のコピーを送りこもうとする。
　送り込む際は、自分自身をUUEncode し、"/tmp/.uua"というファイルとして送り込む。送り込んだ後は、自分自身を"/tmp/.a"にデコードし、実行する。"/tmp/.a"は、UDP ポート2001 のバックドアとして活動を開始する。
　バックドアを仕込まれるとリモートでメール送信やファイルのアップロードや任意のコードの実行が可能になる。
　ワームが稼動している場合、プロセスリストを見ると ".a" として表示される。発見した時は、プロセスを強制終了させ、ワーム本体である "/tmp/.a" を削除しなければならない。

詳しくはScan　および　Scan Daily EXpress 本誌をご覧ください）
http://shop.vagabond.co.jp/m-ssw01.shtml
http://shop.vagabond.co.jp/m-sdx01.shtml

Symantec
http://securityresponse.symantec.com/avcenter/venc/data/freebsd.scalper.worm.html

F-Secure
http://www.F-Secure.com/v-descs/scalper.shtml

TrendMicro
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=ELF_SCALPER.A

BUGTRAQ Apache worm in the wild
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263/1.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/263/2.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/262.html
http://msgs.securepoint.com/cgi-bin/get/bugtraq0206/262/1.html

□ 関連情報:

ApacheのChunkエンコードのバグによる重大な脆弱性（続報）(2002.6.24)
https://www.netsecurity.ne.jp/article/1/5655.html
ApacheのChunkエンコードのバグによる重大な脆弱性（続報）(2002.6.20)
https://www.netsecurity.ne.jp/article/1/5584.html
ApacheのChunkエンコードのバグによる重大な脆弱性(2002.6.19)
https://www.netsecurity.ne.jp/article/1/5575.html