 |
1. Gumblarウイルスとは Gumblarウイルスは、Webサーバ管理者がこのウイルスに感染すると、FTPのIDとパスワードを盗まれ、Webサイトが改ざんされ、Gumblarウイルスの配布サイトとなってしまう可能性がある悪質なものです。君子危うきに近寄らず、つまり危険なサイトへの訪問を控えていても、このウイルスに感染してしまった善良なのサイトを訪問しただけで、感染が広がっているのが現状です。 Gumblarウイルスでは、Adobe Acrobat ReaderやAdobe Flash Player、Internet Explorerの脆弱性を悪用して感染を広げていることが、ウイルスコードの解析を行った結果判明しています。ユーザーはマイクロソフト社のWindows Updateを定期的に実施する習慣がついてきていますが、サードパーティ製のアプリケーションのアップデートは未だ定着するに至っていないと判断され、このウイルス作者は、このようなユーザーの動向に付け入る攻撃手段を取っていると考えられます。 Gumblarウイルスが利用している脆弱性は、過去に発見・修正された脆弱性のみを悪用しています。いわゆるゼロデイ攻撃（脆弱性の対処ができない状況での攻撃行為）ではないため、Windows Updateはもちろんのこと、サードパーティ製のアプリケーションについても最新バージョンにしておくことで、現状のGumblarに関しては、攻撃を防ぐことができます。 しかしながら、次のGumblarがゼロデイ攻撃を実装していないとも限らないため、今後も注意が必要な状況であることに変わりはありません。 2. Gumblar vs FFR yarai Gumblarウイルスの感染の流れは以下のようになっています。
表 1 Origma+でのGumblar検体検出結果
表 1は、Gumblar検体のファイル拡張子、ファイルハッシュ値、および、2009年11月7日時点におけるVirus Total (主要アンチウイルスソフトによるウイルスチェックサイト)での検出結果です。表 1が示すようにGumblar検体では、Adobe Reader の脆弱性を悪用した攻撃後にダウンロードされる実行形式ウイルスについては比較的対応できていますが、はじめにダウンロードされる Adobe Readerなどの脆弱性を攻撃するウイルスに対しての対応が遅れるケースが多いようです。 Gumblarように、初めに脆弱性をついた攻撃を行い、その後ウイルス本体をダウンロードする攻撃形態の場合、ウイルス本体を別のウイルスに変更することが容易となります。そのため、ウイルス本体が新種のウイルスに入れ替わると、これらの従来のパターンマッチングによるアンチウイルスソフトでは検出できなくなってしまうことが考えられます。よって、Webサイトを訪問した際に悪用される、Adobe Reader などのアプリケーションの脆弱性を攻撃する際にウイルスを検出することが重要となっています。 Origma+では、ウイルス検知機能としてFFR yaraiの検出エンジンを使用しています。そこで、FFR yaraiがインストールされているパソコンを使用して、Gumblarウイルスにより汚染されているURLへのアクセスを試みたところ、図 1に示す通りFFR yaraiのZDPエンジンにてGumblarウイルスの使用しているAcrobat Readerの脆弱性をつくPDFファイルを検出し、攻撃をブロックすることが確認できました。
図 1では、GumblarウイルスがAdobe Acrobat Reader 8.0の脆弱性を攻撃し悪意のあるコードを実行させようとしているところを、FFR yaraiのZDPエンジンがブロックしているところです。図 1以外の攻撃手法に関しても、ZDPエンジンが脆弱性を利用してウイルスに感染させようとするコードをブロックすることを確認しています。 また、脆弱性をついてダウンロードされた実行形式ファイルについても、図 2に示すようにFFR yaraiのスタティック分析エンジンにて検出されることを確認しています。
近年のウイルスは攻撃手法が洗練され、派手なパフォーマンスを伴わないものが増えているために、攻撃の事実が判明するまでに時間を要することが増えてきています。Webのように、世界各国とつながるシステムの場合、国別の感染状況も一転してしまう危険性もはらんでいます。 前述のように、現在はセキュリティ対策の方法が存在する脆弱性への攻撃にとどまっていますが、近い将来、未知の脆弱性を狙ったもの、もしくはベンダーが修正中の脆弱性への攻撃が登場しないともかぎりません。 FFRは、このような事態を想定しFFR yaraiの開発を行いました。私たちは、われわれの技術が次の世代の攻撃手法を防ぐ楔となることを期待しています。 |
