ルートキット機能が特徴の「ZACCESS」を解析（トレンドマイクロ）

トレンドマイクロは、ルートキット機能を備えることが特徴の不正プログラム「ZACCESS」の解析結果をブログで発表している。

脆弱性と脅威脅威動向

2012.11.8 Thu 16:56

「ZACCESS」の感染PC数（期間：2012年1月～10月）全 4 枚拡大写真

トレンドマイクロ株式会社は11月7日、ルートキット機能を備えることが特徴の不正プログラム「ZACCESS」の解析結果をブログで発表している。同社では2012年上半期だけで 1億4千万件以上の脅威から保護しているが、その中でもZACCESSは注意すべき脅威としている。ZACCESSは、別名「ZEROACCESS」や「SIREFEF」とも呼ばれる。コンピュータへ侵入した後、ルートキット機能を駆使して自身の不正活動を隠ぺいすることでセキュリティソフトなどからの検出を回避し、他の不正プログラムや、偽アプリケーションなどを侵入させる。第3四半期においてアメリカに次いで日本でも多くの感染が確認されており、国内ユーザからの問い合わせも非常に多いことから、リージョナルトレンドラボがより詳細な調査を行った。

調査結果から、ZACCESSには5つの特徴があるとしている。ひとつはP2P機能を用いて双方向の通信を実現している点で、これによりC＆Cサーバにかかる負荷を削減し、またC＆Cサーバが閉鎖される事態が起きたとしても耐えうるネットワークを実現している。P2P機能を利用することで、C＆Cサーバを経由せずに感染PC同士（ゾンビPC）でコマンドなどを送受信することが可能となる。このほか、UDP通信においてハッシュ値を利用している点、感染先の環境に対応するためにMicrosoftの圧縮形式であるキャビネットファイル（拡張子CAB）を利用している点、複数回のコードインジェクションなどの手法で解析を困難にさせている点、C＆Cサーバへの接続回数を示す数字がある点を特徴として挙げている。同社ではZACCESSから身を守るために、以下を推奨している。

・P2Pネットワークから海賊版等の動画をダウンロードするような行為は慎むこと
・信用のおけるWebサイトのみ閲覧すること
・管理者権限の付与を最小限にしておくこと
・コンピュータを常に最新にしておくこと

《吉澤亨史（ Kouji Yoshizawa ）》