今回発見された「TROJ_TARODROP.BA」は、電子メールや悪意のあるWebサイトを介して侵入したものと推測されます。攻撃ファイルの名前は「{日本語の文字列}.jtd」です。 回を増すごとに洗練している攻撃手法 一太郎の脆弱性を狙った攻撃が初観測されたのは2006年8月の「TROJ_MDROPPER.BL」でした。それ以後、新たな脆弱性が探し出される度に攻撃は仕掛けられ、その内容を洗練させてきています。 これまでの攻撃において攻撃者は実質的な不正活動を行うプログラムをドロップ/自動実行させるために文書アプリケーションの脆弱性を衝いてきています。「TROJ_TARODROP.BA」の攻撃シナリオも例外ではありません。攻撃シナリオを追ってみたいと思います。 影響下にある一太郎を使い、一太郎ウイルス（脆弱性を衝く攻撃ファイル、JTDファイル）を開くと、「＜ランダムな文字列＞.tmp」を生成

1ヶ月間における脅威レベルの変化を追跡 約1ヶ月経過した現在、脅威レベルはどのように変化してきたのでしょうか。CVSSにおける[現状評価基準]に基づき、評価を行ってみたいと思います。 2月22日に多くの人が閲覧可能な状態で転用可能な攻撃コードが公開されていることを確認しています。このため、[攻撃される可能性（Exploitability）]は[容易に攻撃可能（Widespread）]な状態であると評価できます。 次に、[利用可能な対策のレベル（Remediation Level）]の評価を確認したいと思います。2月19日に公開されたアドバイザリでは、「JavaScriptを無効にする」対策が提示されました（Adobe Readerの[編集]メニューより、[環境設定]を実行。分類項目の「JavaScript」を選択。「Acrobat JavaScriptを使用」のチェックボックスをクリアする

昨年11月21日を発端とし、「MS08-067」で対処した脆弱性（セキュリティホール）を悪用する「WORM_DOWNAD」（ダウンアド、別名：「W32.Downadup」または「Win32/Conficker」）ファミリの被害が拡大しています。その被害は亜種の出現により、拡散能力、駆除に対する耐性の強化が図られてきたことで深刻度が高まっています。今回はそのファミリの系譜を辿ることで、脅威を分析するとともに、トレンドマイクロのソリューションによる予防策についてお知らせします。 図1は、主要なWORM_DOWNADファミリを系譜図としてまとめたものです。 過去の傾向によれば、フェーズ移行は1ヶ月ペースで推移しています。この傾向が続く場合、第2フェーズにある現在の状況は過渡期に向かっているのではと推測されます。我々防衛側は攻撃者側の思惑に振り回されることなく、第3フェーズへの推移を阻止する必要が

※この記事にはその後確認された亜種の系譜を辿る情報を公開しております。こちら からご参照ください。 2008年11月27日の記事にもあるとおり、現在、局地的に組織内での「WORM_DOWNAD」（ダウンアド）と呼ばれるネットワーク型ウイルスの感染被害が広まっています。組織から寄せられる被害報告を分析することにより、「WORM_DOWNAD」ファミリの全容が明らかとなってきています。今回は「WORM_DOWNAD」ファミリの振り返りと題し、被害の全容を明らかにしていきたいと思います。 収束傾向にある今も、潜伏PCからの予期せぬ再発が 11月21日にスペインのセキュリティ組織より、検体が報告され、日本国内では11月25日に初報告を受け、今なお局地的に組織内での大規模感染（アウトブレーク）が報告されているネットワーク型ウイルス「WORM_DOWNAD.A（ダウンアド、別名：「W32.Downad

リージョナルトレンドラボでは Internet Explorer 7 （以下IE7）の未修正のセキュリティホールを攻撃する不正プログラムが複数のWebサイトに含まれていることを確認しました。トレンドマイクロではこの不正プログラムを「JS_DLOAD.MD」としてパターン5.701.00（2008年12月10日公開）から検出対応しています。 現在、この「JS_DLOAD.MD」を含むWebページをIE7でオープンすると、複数の不正サイトへのリダイレクトの後、最終的には「TSPY_ONLINEG」ファミリーの複数の亜種が侵入する被害が発生することを判明しています。トレンドマイクロでは既に「JS_DLOAD.MD」を含むものと確認された複数のサイト、並びにリダイレクト先の不正サイトのURLブロックに対応しています。 追記：2008年12月12日 00:29

※この記事にはその後判明した事実に基づく統括情報を公開しております。こちら からご参照ください。 リージョナルトレンドラボはマイクロソフト株式会社のServerサービスに存在する脆弱性（MS08-067：CVE-2008-4250）を抱えるコンピュータを見つけ出し、任意プログラムのダウンロード攻撃を仕掛けるツールが流通していることを確認しています。トレンドマイクロでは、今回確認されたハッキングツールを「TROJ_PACKED.ME」の検出名にて対応が完了済みであることを報告します。 攻撃ツールの利用者は中国語圏と推定 今回、我々が確認したハッキングツール「TROJ_PACKED.ME」は、先月24日にマイクロソフト社が定例外のスケジュールで「深刻度：緊急」に位置づけ、リリースを行ったセキュリティ更新プログラム「MS08-067」の脆弱性を悪用するものです。攻撃ツールによる攻撃が成立した場合

今回発見された「TROJ_TARODROP.AK」は、電子メールや悪意のあるWebサイトを介して侵入したものと推測されます。攻撃ファイルの名前は「{日本語の文字列}.jtd」です。 攻撃は別ウイルスのドロップ。バックドア活動へ繋げる 攻撃者の狙いはバックドア活動による秘密情報の収集です。感染したコンピュータ内の情報を収集し、ポート443を通じてドメイン「skytwo{BLOCKED}.org」へ情報を送信しようとします。 深く静かに感染活動を行うべく、図のように別ウイルスと連携することで目的を達成する戦略が練られています。 攻撃コードを含む文書ファイルを攻撃コードを含まない文書ファイルにより上書きし、利用者にあたかも正常な文書ファイルを開いたかのように錯覚させる隠蔽手法が採られています。この手法はこれまでの一太郎に対する攻撃においても報告されている手口です。これにより被害者は、バックドアが

この投稿では、2008年7月度に観測されたアプリケーションの脆弱性を悪用したウイルスまたは攻撃コードに対する、ベンダ発表とトレンドマイクロ製品による緩和策についてお知らせします。 ■7/1(火)～7/31(木) のセキュリティ関連情報　目次 ウイルスバスター Corp./ウイルスバスター BizのActiveXコントロールにおけるバッファオーバーフローの脆弱性 Microsoft Word の文書ファイル処理おける任意のコードを実行される脆弱性 Microsoft Access Snapshot Viewer ActiveX コントロールに任意のコードを実行される脆弱性 複数の DNS 実装にキャッシュポイズニングの脆弱性 ■ウイルスバスター Corp./ウイルスバスター BizのActiveXコントロールにおけるバッファオーバーフローの脆弱性

この投稿では、2008年6月度に観測されたアプリケーションの脆弱性を悪用したウイルスまたは攻撃コードに対する、ベンダ発表とトレンドマイクロ製品による緩和策についてお知らせします。 ■6/1(日)～6/30(月) のセキュリティ関連情報　目次 Adobe Reader/Adobe AcrobatのJavaScriptメソッドに入力値を適切に処理できない脆弱性 Mozilla Firefoxにおける任意のコード実行の脆弱性 Windows上のアップル Safariの処理に任意のコードを実行される脆弱性 ■Adobe Reader/Adobe AcrobatのJavaScriptメソッドに入力値を適切に処理できない脆弱性