Jeans & Development コンピューターのことなどを綴ったメモ (旧：目から鱗 w/SQLite)

JPCERTが、Gumblarに関して注意喚起を行った。

2010-01-08 [更新]
Web サイト改ざん及びいわゆる Gumblar ウイルス感染拡大に関する注意喚起

このウイルスは、webサイト及び一般ユーザーの両方に感染するタイプで、次のような生活環である。

１）Webサイト中では、不正なJavaScriptとして存在している。
２）一般ユーザーがこのようなWebサイトを閲覧すると、Acrobat Reader, Flash Player, Javaなどの脆弱性を付かれて、感染する。
３）感染した一般ユーザが、自らのwebサイトをFTPを用いて管理している場合、そのwebサイトにFTPにより感染する。
４）１－３の繰り返し。

従って、webサイトを管理しているユーザには要注意のもの。

JPCERTに拠ると、このウイルスが突いている脆弱性は、Acrobat Reader, Flash Player, Javaらしい。Acrobat Readerの脆弱性は、DEPを有効にすることで回避できるようだから、どうやらバッファーオーバーフローらしい。

FlashとJavaについては、次のページで最新版かどうかを確認して、そうでなければ最新版をインストールするように勧めている。

Adobe Flash Player:Version Information
Java ソフトウェアのインストール状況の確認

Acrobatの方は、１月８日現在、まだ修正パッチがでていないようで、『編集』→『環境設定』から、JavaScriptを無効にする必要がある。パッチは１３日に公開されるそうである。PDFファイルのほとんどは、JavaScriptを必要としないだろうから、無効の状態でずっと使っていても、多くのユーザーには不具合はないものと考える。

このウイルスが使っている感染のテクニックは、２つ。

１）バッファーオーバーフローなどの、ソフトウエアの脆弱性
２）中間者攻撃による、インターネット通信の傍受となりすまし

１に関しては、とにかく利用しているソフトウエアを最新のものに保つことが必要。２を防ぐには、平文で情報をやり取りするFTPを使うのではなく、SCPなど、暗号化された方法を使うことが望ましい。これらが、基本の防御といえる。

他の防御方法として、ファイアーウォールにより、１・２いずれかもしくは両方を遮断することが考えられる。去年春ごろの流行では、これで１のかなりを防いでいたらしい。２の方も、内から外への接続も監視しておくことで、ある程度防げるはずである。

もうひとつの防御方法としては１→２の流れを遮断すること、例えばWebを閲覧するためのコンピューターとFTP接続をするためのコンピューターを別にするなどの方法が考えられる。Webを閲覧するためのコンピューターとしてVertualBoxなどの仮想ＰＣを用いるのも有効である。これが逆のケース、つまり、FTP接続をするためのコンピューターとして仮想ＰＣを用いるのは有効な方法とはいえない。VirtualBoxからの通信がGumblarに傍受されるからである。

今のところ、感染はWindowsをインストールしたＰＣを介して行われているようだ。しかし、感染メカニズムとしてはMacでも起こりうる。今後、そういった機能を持つの亜種が出てくる可能性は有る。