Zotob発生――そのとき、Microsoftの緊急対策室は（3/3 ページ）

[Ryan Naraine，eWEEK]

　Micrsoft.comの最初のページにはバナーの見出しが付けられた。これと同じ警告が、同社のセキュリティポータルおよびWindows 2000製品ページにも掲載された。インシデントページやパッチのダウンロードサイト、各種の防御ガイダンスなどへのリンクを掲載した電子メールも大量に送付された。

　Zotobの感染規模はまだ非常に小さかったが、月曜日（8月15日）に企業が業務を開始した段階で被害が拡大する可能性があった。

　「感染率は低いけれども、これは状況が悪くないことを意味するわけではない。ユーザーが被害に遭わないための情報を提供するだけでなく、コンピュータを正常状態に戻す方法も知らせなければならない」（トゥールーズ氏）

　8月15日朝の時点では、ウイルス検知機能をすり抜けるよう、オリジナルのZotobコードを修正した亜種も出回り始めていた。社内の調査チームはウイルス作成者の動きに追いつくべく、コードの分析作業に再び取りかかった。

　8月15日の夕方までにウイルスエンサイクロペディアが更新され、Zotob.Cなどの項目が追加された。「ウイルス作成者は実行ファイルを変更し、ネットワークをスキャンする方法を変更していた。われわれは新たな変種を見つけるたびに、独立したインシデントページを更新している」とトゥールーズ氏は話す。

CNNも被害者に

　「8月16日にCNN自身が被害を受けたと報じたとき、われわれは計画を検討し、状況を把握するための会議を行っているところだった。その時点で、有名企業が被害を受け、原因は不明だと伝えていることを知った。彼らのコンピュータがシャットダウンと再起動を繰り返しているということだった」とトゥールーズ氏は振り返る。

　Microsoftは大手メディアの関心を利用しようとした。MSRCでは、攻撃について説明し、被害拡大を防ぐのを支援するためにCNNの担当者に連絡したところ、CNN側の方がより貴重な支援を提供してくれた。

　「CNNのスタッフを緊急対策室に招き、われわれが情報を発信するのを手助けしてもらったのだ。CNNに対する攻撃は新しいものではなく、8月14日から出現したものと同じだった。しかし大手メディア企業が感染したために、大きなニュースになった」

　「この時点で人々に伝えたいことが2つあった。これはWindows 2000だけに影響するということ、そして提供済みのパッチで被害を防止できるということだ。また、被害を受けたユーザーを支援するためにわれわれが努力していることも知ってもらいたかった」（同氏）

　そのころには、約1ダースのZotobの変種が存在し、ウイルス作成者のライバル同士が互いに相手のマルウェアを削除している状況も確認された。MSRCは、悪質なソフトウェアを削除するツールを臨時にアップデートして、検出・除去機能を提供することを決定した。

　このユーティリティは通常、毎月第2火曜日に更新されることになっているが、Zotobが徘徊し、大手メディアが大規模なワーム発生を報じていたため、Microsoftはユーザーに直ちに支援する必要があると判断したのだ。

　「緊急対策室では、あらゆることが同時進行していた。われわれはインシデントページを更新する一方で、マルウェア除去ツールにその情報を追加する作業を進めた。われわれの側からは、状況の急激な変化は感じられなかった。感染規模は依然として小さかったが、新種が登場し、それまでとは異なるユーザーも影響を受けていた」とトゥールーズ氏は話す。

　マルウェア除去ツールをリリースした後、提供を開始したという事実を知らせるとともに、ダウンロードサイトをユーザーに知らせるために各ガイダンスページも更新する必要があった。このツールは、9月のパッチサイクルの一部としてAutomatic Updatesに追加される予定だ。

　「現時点でも警戒態勢を維持しているが、状況は落ち着いた」とトゥールーズ氏は語る。

　「今後も変種の調査を続ける。新たな変種が見つかれば、その検知機能を除去ツールに追加し、次のパッチ予定日に広範に提供するつもりだ」（同氏）

原文へのリンク