ストームワーム

コンテンツへジャンプ
フリー百科事典『ウィキペディア』より
W32/Storm.wormと混同しないでください。

ストームワーム（フィンランドのF-Secure社が名付けた）は、フィッシング詐欺の バックドア[ 1 ] [ 2 ] トロイの木馬であり、 Microsoftのオペレーティングシステムを使用しているコンピュータに感染します[ 3 ] [ 4 ] [ 5 ]。 2007年1月17日に発見されました。[ 3 ]このワームは、次の名前でも知られています。

ストームワームは、2007年1月19日金曜日、最近の気象災害に関する件名「ヨーロッパを襲う嵐で230人死亡」の電子メールメッセージを使用して、ヨーロッパとアメリカ合衆国の数千台の（主に個人用）コンピュータを攻撃し始めました。 [ 6 ]週末には、その後6回の攻撃が発生しました。[ 7 ] 2007年1月22日時点で、ストームワームは世界中のマルウェア感染の8%を占めていました。[ 8 ]

PCWorldによると、ストームワームはロシア起源であり、おそらくロシアビジネスネットワークにまで遡ることができるという証拠がある。[ 9 ]

歴史

[編集]

ストームワームはもともとサイクロンキリルに関するメッセージで拡散されましたが、次のような件名の電子メールでも確認されています。 [ 10 ]

「テスト中に、感染したマシンが5分間に約1,800通のメールを一気に送信し、その後送信が停止したことを確認しました。」

–シマンテックのセキュリティレスポンスグループの研究者、アマド・イダルゴ氏。 [ 11 ]
  • 嵐がヨーロッパを襲い、230人が死亡。[このメッセージの件名から、ワームは「Storm（嵐）」と名付けられました。]
  • 11 歳で殺人者になった彼は、21 歳で自由になり、また殺人を犯す!
  • ライス米国務長官がドイツのメルケル首相を蹴った
  • イギリスのイスラム教徒によるジェノサイド
  • 裸の十代の若者たちがホームディレクターを襲​​撃。
  • Re: あなたのテキスト
  • 敵の血を飲む過激イスラム教徒。
  • 中国/ロシアのミサイルがロシア/中国の衛星/航空機を撃墜
  • サダム・フセイン氏は無事だ！
  • サダム・フセインは生きている！
  • ベネズエラの指導者：「戦争を始めよう」。
  • フィデル・カストロ死去。
  • もし私が知っていたら
  • FBI対Facebook
  • アメリカがイランを占領

添付ファイルが開かれると、マルウェアはwincom32サービスをインストールし、ペイロードを挿入して、マルウェア自体にエンコードされた宛先にパケットを渡します。シマンテックによると、このマルウェアはTrojan.Abwiz.Fトロイの木馬やW32.Mixor.Q@mmワームをダウンロードして実行する可能性もあります。[ 10 ]このトロイの木馬は、「postcard.exe」や「Flash Postcard.exe」といった名前でスパムメールに便乗しており、攻撃が変化するにつれて、最初の波からさらに変更されています。[ 11 ]添付ファイルの既知の名前には、以下が含まれます。[ 10 ]

  • ポストカード.exe
  • ecard.exe
  • フルビデオ.exe
  • フルストーリー.exe
  • ビデオ.exe
  • 続きを読む.exe
  • フルクリップ.exe
  • グリーティングポストカード.exe
  • MoreHere.exe
  • フラッシュポストカード.exe
  • グリーティングカード.exe
  • ClickHere.exe
  • ReadMore.exe
  • フラッシュポストカード.exe
  • フルニュース.exe
  • NflStatTracker.exe
  • アーケードワールド.exe
  • アーケードワールドゲーム.exe

その後、F-Secureが確認したように、マルウェアは「ラブバード」や「Touched by Love」といった題名で拡散し始めました。これらのメールには、ウイルスが含まれていることが確認されている以下のファイルの一部をホストするウェブサイトへのリンクが含まれています。

  • with_love.exe
  • withlove.exe
  • ラブ.exe
  • frommetoyou.exe
  • iheartyou.exe
  • fck2008.exe
  • fck2009.exe

SecureWorksのマルウェア研究ディレクター、ジョー・スチュワート氏によると、ストームは驚くほどの耐性を保っているが、その理由の1つは、システムを感染させるために使用するトロイの木馬が10分ごとにパッキングコードを変更し、一度インストールされると、ボットが高速フラックスを使用してコマンドアンドコントロールサーバーのIPアドレスを変更するためだという。[ 12 ]

ボットネット

[編集]
メイン記事: Stormボットネット

感染したマシンはボットネットに統合される。ほとんどのボットネットは中央サーバによって制御されており、中央サーバが見つかれば停止させればボットネットを破壊できるが、Storm Worm はピアツーピア ネットワークに似た動作をするボットネットを生成し、中央制御は行わない。[ 7 ]感染したマシンはそれぞれ、ボットネット全体のサブセットのリスト (ホストとして機能する約 30 ～ 35 台の他の感染マシン) に接続します。感染したホストはそれぞれ他の感染ホストのリストを共有しているが、どのマシンもボットネット全体の完全なリストを持っているわけではなく、各マシンはサブセットしか持っていないため、ゾンビ ネットワークの実際の範囲を測ることは困難である。[ 7 ] 2007 年 9 月 7 日現在、Storm ボットネットの規模は 100 万台から 1,000 万台のコンピュータと推定されている。[ 13 ]マンハイム大学とユーレコム研究所の研究者は、同時オンラインストームノードの数は5,000～40,000であると推定している。[ 14 ]

ルートキット

[編集]

ストームワームのもう一つの行動は、ルートキットWin32.agent.dhをインストールすることです。[ 7 ]シマンテックは、ルートキットコードの欠陥により、ストームワーム作成者の計画の一部が無効になると指摘しました。2007年7月頃から始まった後期の亜種は、tcpip.sysやcdrom.sysなどの既存のWindowsドライバに、Windowsドライバリストへのエントリを必要とせずにルートキットドライバモジュールをロードするスタブコードを適用することで、ルートキットコンポーネントをロードしました。[ 15 ]

エイプリルフール

[編集]

2008 年 4 月 1 日、エイプリル フールをテーマにしたタイトルの新しいストームワームがネット上に公開されました。 [要出典]

フィードバック

[編集]

ストームワームを検出できるウイルス対策企業には、Authentium、BitDefender、ClamAV、eSafe、Eset、F-Prot、F-Secure、Kaspersky、McAfee、Sophos、Symantec、Trend Micro、avast! 、 Windows Live OneCareなどがある。[ 16 ]ストームワームはウイルス対策ソフトによる検出を回避するため、作成者によって頻繁に更新されているため、上記のベンダーすべてがストームワームの亜種をすべて検出できるわけではない。侵入検知システムは、 Windows プロセス「services.exe」がポート 4000 または 7871 を使用してインターネットにアクセスしようとしていることを警告するため、ルートキットに対するある程度の保護を提供します。[ 11 ] Windows 2000、Windows XP、およびおそらくWindows Vista は、すべての Storm Worm 亜種に感染する可能性がありますが、Windows Server 2003 は、マルウェアの作成者がコードからそのエディションの Windows を明示的に除外しているため、感染しません。[ 11 ]さらに、一部の亜種の復号化レイヤーでは、Windows XP Service Pack 2 以降でのみ使用可能な Windows API 関数が必要なため、古いバージョンの Windows では感染を効果的に防ぎます。

Peter Gutmann氏は電子メール[ 17 ]で、Stormボットネットは100万台から1000万台のPCで構成されていると述べていますが、これは誰の推定を信じるかによって異なります。Gutmann博士はStormボットネットとTOP500の分散メモリおよび分散共有メモリの高性能コンピュータとのハードウェアリソースの比較を行っていますが、厳密にパフォーマンスを一致させることが彼の意図ではなく、むしろ他の大規模なコンピューティングリソースと比較したボットネットの規模をより一般的に評価することが目的でした。例えば、Stormボットネットの規模をWorld Community Gridなどのグリッドコンピューティングプロジェクトと比較してみましょう。

2007年10月21日付のPCWorld [ 18 ]の記事によると、ネットワークセキュリティアナリストが2007年10月20日にサンディエゴで開催されたToorconハッカーカンファレンスで、Stormのアクティブホスト数が約2万台、つまり以前の約10分の1にまで減少したという調査結果を発表したという。しかし、セキュリティ研究者のブルース・シュナイアー[ 19 ]はこれに異議を唱えており、ネットワークが分割されているのは、各部分を個別に売却するためだと指摘している。

注記

[編集]
  1. ^ Шуб, Александр.「Штормовой червь」 атакует Интернет（ロシア語）。2007年9月28日時点のオリジナルよりアーカイブ。2007年1月20日閲覧。
  2. ^ プリンス、ブライアン（2007年1月26日）。「『ストームワーム』が世界中に広がり続ける」 FOXNews.com 。 2007年1月27日閲覧。
  3. ^ a b c 「F-Secure Trojan Information Pages: Small.DAM」 。 2007年1月25日閲覧。
  4. ^ シマンテックによると、Trojan.Packed.8として検出されました。LiveUpdateの定義でもTrojan.Peacommとして検出されました。
  5. ^ "「ストームワーム」がインターネットを席巻。2007年1月19日。 2007年1月20日閲覧。
  6. ^ 「嵐の混乱でウイルス感染急増」 BBCニュース、2007年1月19日。 2007年1月19日閲覧。
  7. ^ a b c d エスピナー、トム (2007 年 1 月 22 日)。」「『ストームワーム』が進行する」 ZDNet 2007年1月22日閲覧。
  8. ^ カイザー、グレッグ（2007年1月22日）。「『ストーム』スパムが急増、感染者数も増加」 InformationWeek . 2007年1月22日閲覧。
  9. ^ 「インターネットの最大の敵」PCWorld。 2009年3月16日時点のオリジナルよりアーカイブ。
  10. ^ a b c 末永、正樹 (2007年1月22日)。「トロイの木馬.Peacomm」。2019年6月29日のオリジナルからアーカイブ。2007 年 1 月 22 日に取得。
  11. ^ a b c d Keizer, Gregg (2007年1月23日). "「『Storm』トロイの木馬が160万台のPCを攻撃、Vistaは脆弱か」 InformationWeek . 2021年10月6日閲覧。
  12. ^ Robert Vamosi (2008年8月7日). 「Storm Worm」 . CNET.com .
  13. ^ Peter Gutmann (2007年8月31日). 「世界最強のスーパーコンピュータがオンラインに」 . Full Disclosure . 2007年8月31日閲覧。
  14. ^ ケリー・ジャクソン・ヒギンズ (2008年4月23日). 「研究者がStormボットネットに侵入し『汚染』」 Darkreading.com . 2008年4月24日閲覧。
  15. ^ SophosLabs (2007年7月28日). 「システムファイルのパッチ適用：パートII」 . Sophos . 2011年7月18日時点のオリジナルよりアーカイブ。2010年12月5日閲覧。
  16. ^ SANS Instituteのインターネットストームセンターの最高技術責任者、ヨハネス・ウルリッヒのブログ記事
  17. ^ 「ピーター・ガットマンの電子メール」。
  18. ^ 「ストームワームは今やただのスコール」。
  19. ^ 「Schneier on Security: The Storm Worm」。
[編集]
「 https://en.wikipedia.org/w/index.php?title=Storm_Worm&oldid=1321266573」より取得

    ストームワーム（フィンランドのF-Secure社によって名付けられた）は、フィッシング バックドア[1] [2] トロイの木馬であり、 Microsoftオペレーティングシステムを使用しているコンピュータに感染し、 [3] [4] [5] 2007年1月17日に発見されました。[3]このワームは、次の名前でも知られています。

    ストームワームは、2007年1月19日金曜日、ヨーロッパとアメリカ合衆国の数千台（主に個人所有）のコンピュータを攻撃し始めました。攻撃の件名は「ヨーロッパを襲う嵐で230人が死亡」という最近の気象災害に関するものでした。[6]週末には、さらに6回の攻撃波が発生しました。[7] 2007年1月22日時点で、ストームワームは世界中のマルウェア感染の8%を占めていました。[8]

    PCWorldによると、ストームワームはロシア起源であり、おそらくロシアビジネスネットワークにまで遡ることができるという証拠がある。[9]

    歴史

    ストームワームはもともとサイクロンキリルに関するメッセージで拡散されましたが、次のような件名の電子メールでも確認されています。 [10]

    「テスト中に、感染したマシンが5分間に約1,800通のメールを一気に送信し、その後送信が停止したことを確認しました。」

    –シマンテックのセキュリティレスポンスグループの研究者、アマド・イダルゴ氏。 [11]
    • 嵐がヨーロッパを襲い、230人が死亡。[このメッセージの件名から、ワームは「Storm（嵐）」と名付けられました。]
    • 11 歳で殺人者になった彼は、21 歳で自由になり、また殺人を犯す!
    • ライス米国務長官がドイツのメルケル首相を蹴った
    • イギリスのイスラム教徒によるジェノサイド
    • 裸の十代の若者たちがホームディレクターを襲​​撃。
    • Re: あなたのテキスト
    • 敵の血を飲む過激イスラム教徒。
    • 中国/ロシアのミサイルがロシア/中国の衛星/航空機を撃墜
    • サダム・フセイン氏は無事だ！
    • サダム・フセインは生きている！
    • ベネズエラの指導者：「戦争を始めよう」。
    • フィデル・カストロ死去。
    • もし私が知っていたら
    • FBI対Facebook
    • アメリカがイランを占領

    添付ファイルが開かれると、マルウェアはwincom32サービスをインストールし、ペイロードを挿入して、マルウェア自体にエンコードされた宛先にパケットを渡します。シマンテックによると、このマルウェアはTrojan.Abwiz.Fトロイの木馬やW32.Mixor.Q@mmワームをダウンロードして実行する可能性もあります。[10]このトロイの木馬は、「postcard.exe」や「Flash Postcard.exe」といった名前でスパムメールに便乗しており、攻撃が変化するにつれて、最初の波からさらに変化しています。[11]添付ファイルの既知の名前には、以下が含まれます。[10]

    • ポストカード.exe
    • ecard.exe
    • フルビデオ.exe
    • フルストーリー.exe
    • ビデオ.exe
    • 続きを読む.exe
    • フルクリップ.exe
    • グリーティングポストカード.exe
    • MoreHere.exe
    • フラッシュポストカード.exe
    • グリーティングカード.exe
    • ClickHere.exe
    • ReadMore.exe
    • フラッシュポストカード.exe
    • フルニュース.exe
    • NflStatTracker.exe
    • アーケードワールド.exe
    • アーケードワールドゲーム.exe

    その後、F-Secureが確認したように、マルウェアは「ラブバード」や「Touched by Love」といった題名で拡散し始めました。これらのメールには、ウイルスが含まれていることが確認されている以下のファイルの一部をホストするウェブサイトへのリンクが含まれています。

    • with_love.exe
    • withlove.exe
    • ラブ.exe
    • frommetoyou.exe
    • iheartyou.exe
    • fck2008.exe
    • fck2009.exe

    SecureWorksのマルウェア研究ディレクター、ジョー・スチュワート氏によると、Stormはシステムを感染させるために使用するトロイの木馬が10分ごとにパッキングコードを変更し、ボットがインストールされると、高速フラックスを使用してコマンドアンドコントロールサーバーのIPアドレスを変更するため、驚くほどの耐性を保っているとのことです。[12]

    ボットネット

    感染したマシンはボットネットに統合される。ほとんどのボットネットは中央サーバによって制御されており、中央サーバが見つかれば停止させればボットネットを破壊できるが、Storm Worm はピアツーピア ネットワークに似た方法で動作するボットネットを生成し、中央制御は行われない。[7]感染したマシンはそれぞれ、ボットネット全体のサブセットのリストに接続し、約 30 ～ 35 台の他の感染マシンがホストとして動作する。感染したホストはそれぞれ他の感染ホストのリストを共有しているが、どのマシンもボットネット全体の完全なリストを持っているわけではなく、各マシンはサブセットしか持っていないため、ゾンビ ネットワークの実際の範囲を測ることは困難である。[7] 2007 年 9 月 7 日現在、Storm ボットネットの規模は 100 万台から 1,000 万台のコンピュータと推定されている。[13]マンハイム大学とユーレコム研究所の研究者は、同時オンラインストームノードの数は5,000～40,000であると推定している。[14]

    ルートキット

    ストームワームのもう一つの行動は、ルートキットWin32.agent.dhをインストールすることです。[7]シマンテックは、ルートキットのコードに欠陥があることで、ストームワーム作成者の計画の一部が無効になっていると指摘しました。2007年7月頃から始まった後期の亜種は、tcpip.sysやcdrom.sysなどの既存のWindowsドライバに、Windowsドライバリストへのエントリを必要とせずにルートキットドライバモジュールをロードするスタブコードを適用することで、ルートキットコンポーネントをロードするようになりました。[15]

    エイプリルフール

    2008 年 4 月 1 日、エイプリル フールをテーマにしたタイトルの新しいストームワームがネット上に公開されました。 [要出典]

    フィードバック

    ストームワームを検出できるウイルス対策企業には、Authentium、BitDefender、ClamAV、eSafe、Eset、F-Prot、F-Secure、Kaspersky、McAfee、Sophos、Symantec、Trend Micro、avast!、Windows Live OneCareなどがある。[16]ストームワームは、ウイルス対策ソフトによる検出を回避するために作成者によって絶えず更新されているため、上記のすべてのベンダーがストームワームのすべての亜種を検出できるわけではない。侵入検知システムは、Windowsプロセス「services.exe」がポート4000または7871を使用してインターネットにアクセスしようとしていることを警告することで、ルートキットからある程度の保護を提供する。 [11] Windows 2000、Windows XP、そしておそらくWindows Vistaは、ストームワームのすべての亜種に感染する可能性があるが、Windows Server 2003は感染しない。これは、マルウェア作成者がコードからそのエディションのWindowsを明示的に除外しているためである。[11]さらに、一部の亜種の復号化レイヤーでは、Windows XP Service Pack 2以降でのみ利用可能なWindows API関数が必要となるため、古いバージョンのWindowsでの感染を効果的に防ぐことができます。

    Peter Gutmann氏は電子メール[17]で、Stormボットネットは100万台から1000万台のPCで構成されていると述べていますが、これは誰の推定を信じるかによって異なります。Gutmann博士はStormボットネットとTOP500の分散メモリおよび分散共有メモリの高性能コンピュータとのハードウェアリソースの比較を行っていますが、厳密なパフォーマンスの一致が彼の意図したものではなく、むしろ他の大規模なコンピューティングリソースと比較したボットネットの規模をより一般的に評価することが目的でした。例えば、Stormボットネットの規模をWorld Community Gridなどのグリッドコンピューティングプロジェクトと比較してみましょう。

    2007年10月21日付のPCWorld [18]の記事によると、ネットワークセキュリティアナリストが2007年10月20日にサンディエゴで開催されたToorconハッカーカンファレンスで、Stormのアクティブホスト数が約2万台、つまり以前の約10分の1にまで減少したという調査結果を発表したという。しかし、セキュリティ研究者のブルース・シュナイアー[ 19]はこれに異議を唱えており、ネットワークが分割されているのは、各部分を個別に売却するためだと指摘している。

    注記

    1. ^ Шуб、Александр。 「Штормовой червь」 атакует Интернет（ロシア語）。 2007 年 9 月 28 日にオリジナルからアーカイブされました。2007 年 1 月 20 日に取得。
    2. ^ ブライアン・プリンス（2007年1月26日）「『ストームワーム』が世界中で拡大を続ける」FOXNews.com 。 2007年1月27日閲覧。
    3. ^ abc 「F-Secure Trojan Information Pages: Small.DAM」 。 2007年1月25日閲覧。
    4. ^ シマンテックによると、Trojan.Packed.8として検出されました。LiveUpdateの定義でもTrojan.Peacommとして検出されました。
    5. ^ 「「ストームワーム」がインターネットを席巻」2007年1月19日. 2007年1月20日閲覧。
    6. ^ 「嵐の混乱でウイルス感染急増」BBCニュース、2007年1月19日。 2007年1月19日閲覧。
    7. ^ abcd Espiner, Tom (2007年1月22日). 「『ストームワーム』は続く」ZDNet . 2007年1月22日閲覧。
    8. ^ Keizer, Gregg (2007年1月22日). 「『ストーム』スパムが急増、感染者数増加」InformationWeek . 2007年1月22日閲覧。
    9. ^ 「インターネットの最大の敵」PCWorld . 2009年3月16日時点のオリジナルよりアーカイブ。
    10. ^ abc 末永、正樹 (2007年1月22日). 「トロイの木馬.ピーコム」。 2019年6月29日のオリジナルからアーカイブ。2007 年 1 月 22 日に取得。
    11. ^ abcd Keizer, Gregg (2007年1月23日). 「『Storm』トロイの木馬が160万台のPCを攻撃、Vistaは脆弱か」InformationWeek . 2021年10月6日閲覧。
    12. ^ Robert Vamosi (2008年8月7日). 「Storm Worm」. CNET.com .
    13. ^ Peter Gutmann (2007年8月31日). 「世界最強のスーパーコンピュータがオンラインに」. Full Disclosure . 2007年8月31日閲覧。
    14. ^ ケリー・ジャクソン・ヒギンズ (2008年4月23日). 「研究者がStormボットネットに侵入し『汚染』」Darkreading.com . 2008年4月24日閲覧。
    15. ^ SophosLabs (2007年7月28日). 「システムファイルのパッチ適用：パートII」. Sophos . 2011年7月18日時点のオリジナルよりアーカイブ。2010年12月5日閲覧。
    16. ^ SANS Instituteのインターネットストームセンターの最高技術責任者、ヨハネス・ウルリッヒのブログ記事
    17. ^ 「ピーター・ガットマンの電子メール」。
    18. ^ 「ストームワームは今やただのスコール」。
    19. ^ 「Schneier on Security: The Storm Worm」.
    • スパムトラッカー スパムWiki: ストーム
    • NetworkWorld: ストームワームの毒性が戦術を変える可能性
    • Wired.com:ブルース・シュナイアーによる分析
    • 「嵐が来る」Wayback Machineに2012年2月13日にアーカイブ、IBM ISS X-Forceブログより
    • シマンテックのTrojan.Peacomm（Storm）
    • 嵐の天気：2007 年の嵐の Web 脅威の定量的評価（トレンドマイクロ）
    • オブザーバーによれば、何百万もの Windows で、完璧な嵐が起こりつつある。
    • PC World より、エイプリルフールのストームワーム攻撃が発生。
    • Help Net Security (HNS) による Storm とソーシャル エンジニアリングの将来。
    • ボドマー、キルガー、カーペンター、ジョーンズ（2012年）『リバース・デセプション：組織的サイバー脅威への対抗策』ニューヨーク：マグロウヒル・オズボーン・メディア、ISBN 0071772499、ISBN 978-0071772495
    「https://en.wikipedia.org/w/index.php?title=Storm_Worm&oldid=1321266573」より取得
    Original text
    Rate this translation
    Your feedback will be used to help improve Google Translate