40％のAntinny駆除に成功するも、古いWindowsがネックに

Telecom-ISAC Japanとマイクロソフトは、両社が共同で行ったワーム「Antinny」への対応状況を発表した。「悪意のあるソフトウェアの削除ツール」のリリースで、約40％の攻撃トラフィックを減少させたという。

[大津心，＠IT]

　Telecom-ISAC Japanとマイクロソフトは11月21日、両社が共同で行ったワーム「Antinny」への対応状況を発表した。取り組みの一環として、10月12日にマイクロソフトがAntinny駆除ツールを公開したところ、約11万台から20万超のAntinnyを駆除し、約40％の攻撃トラフィックを減少させたという。

Telecom-ISAC Japan 企画調整部 副部長 小山覚氏

　AntinnyはPtoPファイル交換ソフト「Winny」に感染するワーム型ウイルスで、感染したPCの個人情報などを漏えいさせるほか、感染するとACCSなど特定のWebサイトへDDoS攻撃を仕掛ける点が特徴だ。Telecom-ISAC Japan 企画調整部 副部長小山覚氏は、「明らかにAntinnyは日本人が日本人向けに作ったウイルスであり、このことが感染を拡大した要因だろう。“ファイル交換ソフトで見つかった欲しいソフトウェアをクリックしたい”という人間心理をうまく突くところなど、ソーシャルネットワークの高度な技術も用いており、“やり手のウイルス”という評価をせざるを得ない」と説明した。

　Antinnyが登場した2004年4月5日には、DDoS攻撃の対象となっていたACCSがDNSのAレコードを削除したことで、 Antinny側のプログラムが無限ループを引き起こした。これによって、ISPが運用するDNSサーバへのクエリが通常時の6倍以上に急増し、ISP各社はDNSサーバの増強を余儀なくされたという。

　その後、Antinnyの攻撃力を測定するために、実験として2004年9月にインターネットの2Gbpsクラスのバックボーン回線上にACCSのWebサイトを移設。攻撃規模を測定したところ、700Mbpsを超える攻撃を受けたという。また、シスコ製のDDoS対応のネットワーク型ファイアウォールを実験的に導入したところ99.6％の攻撃をブロックできたが、「この機器は実験で借りたものであり、一般企業が購入するにはあまりにも高額であり、対策として導入するのは難しい」（小山氏）と説明した。

　そのほかのAntinny対策として、2005年3月にはトレンドマイクロと協力し、Antinnyの駆除ツールを作成して提供したほか、ACCSのサイトへ攻撃を仕掛けているユーザー数千人に対して注意喚起のメールを送信した。しかし、注意喚起メールに反応して駆除ツールを利用したユーザーは数％に過ぎず、ほとんどのユーザーは無視したという。

米マイクロソフト マルウェア対策チーム アーキテクト＆グループプログラムマネージャ ジェーソン・ガームス氏

　このような結果を受けて、Telecom-ISAC Japanは対応を検討。マイクロソフトに協力を要請し半年近くかけて協議した結果、10月12日のAntinnyに対応した「悪意のあるソフトウェアの削除ツール」（MRT）のリリースにつながった。MRTのリリース以後、ACCSへの攻撃数は、IPアドレスベースで4万超から2万5000弱へ39.8％減少したほか、トラフィックも400Mbpsから33.4％減少した、この結果を受けて小山氏は、「今回のMRTの提供により、攻撃の約40％が減少した。しかし、残る60％はMRTが導入されていないWindows 2000以前の古いWindowsシリーズを利用しているか、最新のパターンファイルに更新していないなど、ウイルス対策ソフトが正常に機能しておらず、Antinnyが駆除されずにPCに残っているのだろう」と推測した。

　米マイクロソフト マルウェア対策チーム アーキテクト＆グループプログラムマネージャ ジェーソン・ガームス（Jason Garms）氏は、「10月12日のMRTリリース以後、約11万台から20万以上のAntinnyを駆除した」という数値を明らかにした。10月には、MRTで対応している48種類のウイルスのうち、Antinnyの駆除件数が1位のR-BOTに次ぎ、2位になったという。この数字について、小山氏は「日本語環境のWindowsにしか感染しないAntinnyが、世界中で亜種を制作されており数千種類以上出回っているR-BOTに次ぐ感染件数だったことは、驚くべき事態だ」とコメントした。

　Antinnyに感染していた11万台は、平均1.8種類のAntinnyに感染しており、「最も多くの種類に感染していたユーザーは、1台で 28種類のAntinnyに感染していた」（ガームス氏）と述べた。小山氏はこの調査結果を受けて、「11万台で約40％のトラフィックが減少したことから、残りの60％は約17万台と推測される」と説明。今後は残りの17万台に対して、いかに有効な対応策を打つかが両社の課題だという。ガームス氏は、「Windows 2000以前のユーザーに対してMRTを提供する計画はいまのところない」と語っているが、何らかの対策を打ち、Antinny撲滅に向けて今後も両社で協力していくとした。