またもワーム／今度はSecurity Updateに偽装

Jadawin 曰く、 "みなさん飽き飽きしているかもしれませんが、トロイの木馬情報です。私の所に今日飛んできました。今回は、

From: "Microsoft Corporation Security Center"

を名乗って、Q216309.EXEのバイナリを送りつけます。危険度は「低」となっていますが、ポート12387にバックドアをオープンするようなので要注意。詳細は、W32/Gibe@MMを参照して下さい。でも、発信元がFromと一致しない添付ファイル付きのメールなんてのは、プロバイダレベルで弾いてくれた方がありがたいなぁ。"

こんなご時世にそんなメールを送りつけてくること自体が怪しいスギ。用心に越したことは無いので、みなさまご注意を。

リンク先を読んでみると…

[messo (7339)]

●このワームは、感染対象のマシン上で、Microsoft OutlookとデフォルトのSMTPサーバを使用して、自身を配信します（検証したところ、このワームにはバグがあったため、繁殖するためにOutlookを使用できませんでした）

無害では？
ワームもテストしてないのでしょうね。

テストとはいえ実行するのは大変そうですね。
こいう場合はWindowsを使わずにMacのVirtual PC [connectix.com]でハードイメージをコピーし
オリジナルは他に移してから実際に感染させて試すのが楽、
後は感染したハードディスクイメージを捨てて元のと交換するといい。
届いたのはこの方法で遊んでますけど。
作業としては数分で検証が可能。

どうやって調査しているのでしょうかね。戻すのは面度だしね。

Re:リンク先を読んでみると…

[udonium (4048)]

> こいう場合はWindowsを使わずにMacのVirtual PC [connectix.com]で
> ハードイメージをコピーしオリジナルは他に移してから実際に感染させて
> 試すのが楽、後は感染したハードディスクイメージを捨てて
> 元のと交換するといい。

去年の秋に出た最新の VirtualPC 5.0.x では感染させる前の状態に戻せるので、
いちいち捨てたりコピー(duplicate)する手間が省けますね。

--
[udon]

そのうち

[uxi (5376)]

VirtualPC をピンポイントで狙ったワーム or ウィルスが出てきたりして、、、

--
uxi

Re:そのうち

[Yoh2 (6924)]

Virtual PCでHDBenchを使ったら、CPU欄に"Power PC 630e"と表示されました。(本当は PowerPC 750だったけど、似たようなものだし)

CPU情報からVirtualPCを判別、アタックするようなものがでてきたら…
…広がらないような気もしますが。

--
巧妙に潜伏したバグは心霊現象と区別が付かない。

そーか。だからウィルススキャンしてもウィルスと判別

[Wildcat (2067)]

ウィンドウズ用の全てのウィルス検査プログラムで試したわけじゃありませんが、自分の所で使ってるウィンドウズマシンに入っているやつに最新のパターンファイルを入れても全然ウィルスと判定してくれませんでした(もうそれ用のパターンファイルが配布されているかも知れないけどね)。これってやっぱバグってたからかな?

いやしかし、こういう感じのウィルスだと英語がわかってコンピュータに詳しくない人は騙されちゃうね。日本人にはそういう人少ないとは思うが(笑)。
(でも日本語版が出たら終わりか…)

--
(´д｀;)

ソースはひどくても・・・・・

[znc (2768)]

: 無害では？
: ワームもテストしてないのでしょうね。
今回は作った側も何ですが, コンピューターウイルスの世界では少なくても
アイデアを提示するだけでも充分有効です.

自分がだめでも,誰かがまとも(?)なのを作ってくれますから・・・・・

--
『今日の屈辱に耐え明日の為に生きるのが男だ』
宇宙戦艦 ヤマト 艦長 沖田十三氏談
2006/06/23 JPN 1 - 4 BRA

Re:リンク先を読んでみると…

[naka64 (4590)]

無害では？
ワームもテストしてないのでしょうね。

片肺飛行で繁殖自体はできるようです。十分危険。

バグがあるということは

[hajimetyan (3875)]

やはりマイクロソフト製じゃないのかな。

お約束だがベストなウィルス対策はWindowsを使わない事だ。

--


.::.:... .::....: .::...:: .::.:.:: .::..:.: .:::..:.
I 1 2 B H4[keR. :-)

VMWareじゃだめ？

[Anonymous Coward]

Linux版で
取り敢えずインテル系マシンではこれが楽かな

ホンマのセキュリティ警告サービスも

[who-am-i (2922)]

ホンマモンの 3/7付けのセキュリティ 警告サービスとか、3/8付けの Exploring Windows Newsとかも化け化けなんで、一瞬、ワームとかかと思って怯んでしまった。

# そんなことで怯んだ自分がくやしいぞ。

  Subject: Microsoft ????? ?????? ?????? New Security Information (MS02-014) ??
  Content-Transfer-Encoding: quoted-printable
  Content-Type: text/plain; charset="us-ascii"

って・・・。

Re:ホンマのセキュリティ警告サービスも

[tix (7637)]

仲間がいてよかった :)

マイクロソフトのパッチを騙ったワーム、というだけでよく知らない状態で、 MS02-014 の us-ascii 文字化けメールを受け取って、「うわ、来た！ けど添付ファイルがないようだし、どうやって実行されるんだろう」と訝ってしまいました。

ところで、 3/7 セキュリティ警告サービスは Mew 2 ではちゃんと読めました。悪名高き ISO-2022-JP + Content-Transfer-Encoding: quoted-printable ですね（参考: @IT Windows 2000 TIPS の記事 [atmarkit.co.jp]）。

--
鵜呑みにしてみる？

Re:ホンマのセキュリティ警告サービスも

[Anonymous Coward]

いえ、charset=us-ascii ですから、ちゃんと読めるのは間違いです。

Re:ホンマのセキュリティ警告サービスも

[tix (7637)]

ぼくの書き方が悪すぎました。

ところで、 3/7 セキュリティ警告サービスは Mew 2 ではちゃんと読めました。

で述べている「3/7 セキュリティ警告サービス」は、 MS02-014 のほうではなく、 MS02-011 と MS02-012 のほうです。この二つは ISO-2022-JP + quoted-printable で、これが読めるのはおそらく正しい挙動だと思います。

who-am-i さんが書かれている [srad.jp] us-ascii + quoted-printable なるヘッダは MS02-014 のほうで、こちらは Mew では正しく文字化けします。 ;-)

--
鵜呑みにしてみる？

Re:ホンマのセキュリティ警告サービスも

[tix (7637)]

http://www.microsoft.com/japan/technet/security/bulletin/MS02-014ov.asp [microsoft.com]:

お詫びとご案内 : プロダクト セキュリティ 警告サービス にご登録のお客様に本情報が公開されたことをメールにて送付いたしましたが、送付いたしましたメールが正常に読めない状態で配信されました。プロダクト セキュリティ 警告サービスをご利用のお客様に、多大なるご迷惑をおかけいたしましたこと深くお詫び申し上げます。
現在、原因を調査しております。

だそうです。

単にケアレスミス一つで起きたとは考えにくいので（原因がケアレスミス1個ならそれはそれで問題ですが）、きちっと調査してほしいところです。今後もちょくちょくこういうメールを送られると利用者としては困るので……。

// URL さえ読めれば必要な情報は入手できるので文字化けしていても大きな害はないという考え方はありますが。
// さらに言えば、 security builletin の番号さえわかれば URL はわかるという話もあります。

--
鵜呑みにしてみる？

Re:ホンマのセキュリティ警告サービスも

[youkan (3208)]

先週ぐらいまで、そろそろ帰ろうかと思う時刻にメールがきてましたけど、その変なメール前後は、日中にきていたように思います。
　思い過ごしかなー。
　きっと、確立した承認・配送ルールを破ったやつがいるんだ！

Re:ホンマのセキュリティ警告サービスも

[Anonymous Coward]

こちらでは時間帯では、１４時～１６時が狙われやすいみたいです。 # ちょうど睡眠中です。

Re:ホンマのセキュリティ警告サービスも

[Anonymous Coward]

ああ、失礼しました。そのとおりですね。

セキュリティホール情報

[pee02674 (7296)]

ユーザーの、未チェックの思い込みにより、コードが実行される。

このセキュリティ情報の対象となるユーザー : 本人
脆弱性の影響 : 攻撃者の任意のコードが実行される
最大深刻度 : 高
推奨する対応策 : お客様はセキュリティ教育を受講してください。
影響を受けるソフトウェア : 無制限

Re:セキュリティホール情報

[KUSANAGI Mikan (4522)]

去年の夏に流行ったW32/Kmnz [tohoku.ac.jp]を思い出してしまいました。

OS メーカーとして

[uxi (5376)]

今回のワームは何も MS 製のメールクライアントのみを狙ったものではないようだが、
送信者が MS を装った場合 MS 製のメールクライアントは
メールが本物か偽者かの判定くらいは自動でしてくれても罰は当たらない気がするのだが、、、
標準で S/MIME とか装備してるんだから MS の電子署名なかったらダメ出しするとかさぁ、、、

--
uxi

filtering by isp

[Anonymous Coward]

> 発信元がFromと一致しない添付ファイル付きのメール
> なんてのは、プロバイダレベルで弾いてくれた方が
> ありがたいなぁ。

あのー、そんな設定したら、添付ファイル付きのメールがメーリングリストに
流れたら全部弾かれるし、同じく添付ファイル付きのメールを .forward で
別の自分のメールアドレスから転送すると弾かれるし、全然使い物にならない
っすよ。

Re:filtering by isp

[changren (4006)]

>あのー、そんな設定したら、添付ファイル付きのメールがメーリングリストに
>流れたら全部弾かれるし、

きょうびメーリングリストに添付ファイル付きのメールを流すのもどうかと。

--
-------------- chang ren:)

Re:filtering by isp

[Squal (2398)]

自分がsubscribeしているMLの範囲内でいうと、 mew-dist [mew.org]、 sylpheed-jp [good-day.net]、 w3m-dev [sourceforge.net] はある程度添付ファイルが流れます。添付してるのは基本的にパッチなんですけど。

Re:filtering by isp

[Anonymous Coward]

JF [linux.or.jp] とかもそうです。他にもいくらでもありそう。

Re:filtering by isp

[at_it (3191)]

元記事の方は送信側のISPがそのようなメールを弾く ことを想定されているんだと思います。 （似たようなサービスの例： ASAHIネット [asahi-net.or.jp] ）

これにより、

このワームは、感染対象のマシン上で、Microsoft OutlookとデフォルトのSMTPサーバを使用して、自身を配信します

というような被害を食い止められます。（このウィルスはFromを MSのメールアドレスにするため）