「CODERED.A」ウイルス概要
--------------------------------------------------------------------------------
「CODERED.A」ウイルスは、７月１９日付けで米国のセキュリティ団体であるCERTが警告を出した新種のトロイの木馬型ウイルスです。「CODERED.A」は、Windows NT Server4.0 / Windows 2000 ServerのWebサーバであるIISサーバのセキュリティホールを利用し、インターネットを介し非常に早いスピードでウイルスを拡散するワーム活動を行います。感染活動のひとつとして、Webの改ざんを行いますが英語環境でのみ活動するため、日本語環境ではさらに感染に気付きにくく、感染を拡大するひとつの要因となっています。
トレンドマイクロでは7月31日午後3時現在、国内からの感染報告を受けていませんが、明日8月1日からワーム活動が再開することをうけ、今後日本でも感染が拡大する可能性があるため注意が必要です。
■ 感染対象先
Windows NT Server 4.0 およびWindows 2000 のIndexing Service のWebサーバであるIISサーバ
■ 侵入経路
インターネットを介してウイルス感染を拡大します。ランダムなIPアドレスを作成し、IISサーバのセキュリティホールを狙ったHTTPアクセスを試みることにより、セキュリティホールを発見します。発見すると、ウイルスコードを送りこみメモリ上で自動的に感染活動を開始します。ファイルとして存在するわけではないため、この段階ではウイルスを検出できません。
■ 侵入を防ぐためには
IISサーバのせキュリティホ−ルに対応パッチを適用させることにより侵入を防ぐことが可能です。
■参照URL（マイクロソフト株式会社）
ここを押して
■ 感染活動
１． ワーム活動
インターネットを介しセキュリティホールを持つその他のIISサーバを探し出し 感染を広げるワーム活動を行います。
２． Webの改ざん
Webの改ざんに見せかけた活動を行います（感染したサーバ内の全Webページの内容を約10時間差替えます）。※英語環境でのみ活動します。
**ワームに改ざんされたWeb表示イメージ**
Welcome to ここを押して !
Hacked By Chinese
３． マシンのシステム設定日付にそって活動を行います。
[1] １日〜１９日の場合
インターネットを介してワーム活動を行います。
[2] ２０日〜２８日の場合
特定サイトに対しDos攻撃を行います（約２７時間データの送信を続けます。この活動が多数のマシンから行われることにより送信先のサーバは最悪の場合ダウンする可能性があります。）
[3] ２９日〜３１日の場合
活動はありません。
■ ウイルス情報はこちらから
ここを押して
■ 注意事項
1． システム管理者はウイルス感染チェックを行ってください。
2． このウイルスはIISサーバのセキュリティホールを狙ったものです。セキュリティホールに対するパッチを適切にあてることによりウイルスの感染から守ることができます。 「CODERED」が利用するセキュリティホールの詳細およびその対策については、IISサーバ販売元「マイクロソフト株式会社」のWebサイトをご参 照ください。
※CodeRed" IIS ワームに関する情報
ここを押して
3． 無償提供予定の検索ツールに関して
メモリ上で活動するウイルスを検出できるものです。検出した場合は、IISサーバを再起動し、パッチを適用してください。
■ ソリューション
[1] IISサーバを再起動し、マイクロソフト株式会社から提供されているパッチを適用下さい。
再起動することによりウイルス活動のプロセスが終了するため、感染していた場合でもプロセス進行を食い止めることができます。
[2] ファイルとして侵入している可能性もありますので、ファイルサーバ用ウイルス対策製品でのウイルスチェックも同時に行って下さい。
トレンドマイクロ社ファイルサーバ用ウイルス対策製品「ServerProtect」をお使いのお客様は、最新のパターンファイルおよび、最新の検索エンジンでウイルスチェックを行ってください。（トレンドマイクロでは、パターンファイル９１７以降、検索エンジン５．１７０以上で対応しています。）
■ ウイルス情報
ウイルス名 CODERED.A
別 名 CODERED.A， CODERED， CODERED.WORM， HBC， W32/BADY.WORM
ウイルス種類 トロイの木馬型（ワーム）
言 語 英語
プラットフォーム Windows NT Server 4.0 およびWindows 2000 Indexing Service
暗号化 なし
対応パターン# 917
発病条件・破壊活動 [1] 英語環境の場合、Webページの改竄
発病条件・破壊活動 [2] 1〜19日ワーム活動
発病条件・破壊活動 [3] 20〜28日 DoS攻撃
ここを押して
トレンドマイクロ株式会社より抜粋
|
