News 2001年8月6日　07:33 PM 更新

危険度はオリジナルを超える新種「Code Red II」

Code Redの新種「Code Red II」が発見された。感染した時の被害は，Code Redをはるかにしのぐ悪質なものだ。また，オリジナルのCode Redは，国内だけで数千サーバが感染している可能性もあるという。IISの脆弱性については必ずチェックしておくべきだろう。

　情報処理振興事業協会セキュリティセンター（IPA/ISEC）が，「Code Red」の新種について注意を呼びかけている。8月4日に発見された新種は，オリジナルと同様にIISサーバのバッファオーバフローを利用して感染するワームだが，新種はさらに，バックドア型のトロイの木馬「Trojan.Virtual Root」をインストールし，リモート操作でWebサーバに不正侵入できるようにしてしまうなど，より悪質になっている。

　IPA/ISECによれば，この新種は「IISの脆弱性を突くところなど，機能はCode Redに似ているが，プログラムは全くの別物」（にもかかわらず，プログラムの中には“Code Red II”と記されているという）。また，「Code Redでは感染サーバのリストを作成することができることから，不正アクセスの被害に遭う可能性は非常に高い」（同）と警告する。

　「Code Redはメモリ上に展開されるので，再起動すればワームは削除されるが，Code Red IIに感染した場合は，OSのクリーンインストールならびにフルバックアップからのリストアが必要になる」（IPA/ISEC）。Code Red IIから感染を目的とする攻撃を受けると，IISのログに「GET /default.ida?XXXXX〜」というURLが記録される（Code Redの場合は「GET /default.ida?NNNNN〜」）

国内数千サーバ感染の恐れ

　8月6日時点で，IPA/ISECに寄せられたCode Redのオリジナル／新種の感染報告は2件だけ。しかしながら，IPA/ISECでは「Code Redからの攻撃を受けているという情報は多く，国内だけでも数千のサーバが感染している恐れがある」と指摘する。

　実際，東京めたりっく通信は，8月1日から2日にかけて発生したサービス障害が，「契約ユーザーのIISサーバが，Code Redに感染したことが原因の可能性もある」とユーザーに通知している（8月3日の記事参照）。

　また，Code Redに感染するのはWebサーバだけだと安心してはいけない。あるWebサーバ管理者は，「Code RedはWebサーバだけでなく，IISがインストールされているWindowsマシンにも感染する。Code Redは，5分から10分に1回のペースで攻撃をしかけてくるが，ダイヤルアップユーザーからと思われるものも数件確認している」と指摘している。

　なお，シマンテックならびに日本ネットワークアソシエイツでは，IISの脆弱性をチェックする無償の検査ツールを公開しているので，Windows NT4.0/2000/XP（ベータ版）に，IIS 4.0/5.0ならびにIndex Server 2.0/Indexing serviceをインストールしているユーザーは試してみるべきだろう。

SirCamは「極めて大きな実質的被害」

　また，活動を再開したCode Redとは反対に，沈静化に向かいつつある「SirCam」ウイルスだが，その被害状況が明らかになった。

　IPA/ISECによれば，SirCamに感染した電子メールを受け取ったユーザーのうち，実際に感染してしまった割合は20％を超えたという。「極めて大きな実質的被害だ。MagistrやSirCamなど，届出件数で上位にある“データ破壊型ウイルス”の実害率が高い」（同）。

　SirCamに感染すると，「Outlook」「Outlook Express」のアドレス帳に登録されている全てのアドレス，ならびに閲覧したWebページに掲載されているアドレスに対し，「マイドキュメント」フォルダ内の「Word」「Excel」などのファイルを添付してメールが送信されてしまう。また，10月16日になると20分の1の確率でハードディスク内の全ファイルが削除される危険性もある。

　さらに，SirCamのIPA/ISECへの届出件数は520件を記録。これは，新種ウイルスの当月届出件数としては過去最多になる（これまで最も多かったのは2000年11月の「Navidad」で437件」）。このため，7月のウイルス届出件数は，全体で前年同月約2.5倍の1738件にのぼった。

関連記事
▼ Code Redに変種，猛威をふるう
▼ 相次ぐウイルス騒動でセキュリティサイトへのアクセス急増
▼ 東京めたりっく通信の通信障害はCode Redが原因か
▼ 勢いの鈍ったCode Red，しかしまだ要注意
▼ Code Red，8月1日に再び感染開始へ

関連リンク
▼ 情報処理振興事業協会セキュリティセンター

[中村琢磨， ITmedia]

Copyright © ITmedia, Inc. All Rights Reserved.