Loading article…
| ブラスター | |
|---|---|
| 技術名称 | ブラスターとして
ロヴサン MSBLASTとして
|
 | |
| ブラスターワームの16進ダンプ。プログラマーがマイクロソフトの創設者ビル・ゲイツに残したメッセージを表示。 | |
| エイリアス | ロブサン、ラブサン、MSBlast |
| タイプ | ワーム |
| 隔離日 | 2004 |
| 起源 | ミネソタ（B型のみ） |
| 著者 | ジェフリー・リー・パーソン（B バリアントのみ） |
| 技術的な詳細 | |
| プラットフォーム | Windows XPおよびWindows 2000 |
| 使用されるポート | リモート プロシージャ コール |
Blaster（別名Lovsan、Lovesan、MSBlast）は、2003年8月にWindows XPおよびWindows 2000オペレーティングシステムを実行しているコンピュータ上で拡散したコンピュータワームでした。 [1]
このワームは2003年8月11日に初めて発見され、拡散し始めました。拡散率は上昇し、2003年8月13日に感染数がピークに達しました。ネットワーク（企業や大学など）が感染すると、ファイアウォールは通常、内部マシンによる特定のポートの使用を阻止しないため、ネットワーク内でより急速に拡散しました。[2] ISPによるフィルタリングとワームに関する広範な宣伝により、Blasterの拡散は抑制されました。
2003年9月、ミネソタ州ホプキンス出身の18歳のジェフリー・リー・パーソンが、BlasterワームのB亜種を作成したとして起訴され、責任を認め、2005年1月に懲役18ヶ月の刑を宣告された。[3]オリジナルのA亜種の作者は不明のままである。
創造と効果
裁判所の文書によると、オリジナルのBlasterは、中国のグループXfocusのセキュリティ研究者が、攻撃の実行を可能にしたオリジナルのMicrosoftパッチをリバースエンジニアリングした後に作成されたとのことです。 [4]
このワームは、影響を受けるオペレーティングシステムのDCOM RPCサービスでポーランドのセキュリティ研究グループ Last Stage of Delirium [5]が発見したバッファオーバーフローを利用して拡散します。このバッファオーバーフローに対するパッチは、1 か月前に MS03-026 [6]で、その後 MS03-039 [7]でリリースされました。これにより、ワームは大量のランダム IP アドレスにスパム送信するだけで、ユーザーが添付ファイルを開かなくても拡散します。4 つのバージョンが実際に検出されています。[8]これらは、RPC の元の欠陥を悪用した最もよく知られた攻撃ですが、実際には、それほどメディアの注目を集めなかった 12 の異なる脆弱性が他にもありました。[9]
このワームは、システム日付が 8 月 15 日以降 12 月 31 日以前、および他の月の 15 日以降の場合、windowsupdate.comのポート 80 に対してSYN フラッド攻撃を開始するようにプログラムされており、これにより、サイトに対して分散型サービス拒否攻撃(DDoS) が実行されます。 [8]標的のサイトは、リダイレクト先の windowsupdate.microsoft.com ではなく、windowsupdate.com であったため、Microsoft への被害は最小限に抑えられました。Microsoft は、ワームの潜在的な影響を最小限に抑えるために、標的のサイトを一時的にシャットダウンしました。[要出典]
ワームの実行ファイルであるMSBlast.exe [10]には2つのメッセージが含まれています。最初のメッセージは次の通りです。
ただ愛してるよサンと言いたいです!!
このメッセージにより、このワームには Lovesan という別名が付けられました。2 番目は次のようになります。
ビリー・ゲイツ、なぜこんなことが可能になったのですか？金儲けをやめて
ソフトウェアを修正してください！！
これは、ワームの標的となったマイクロソフトの 共同創設者ビル・ゲイツ氏へのメッセージです。
このワームは、Windows が起動するたびに起動されるように、 次のレジストリエントリも作成します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ windows 自動更新 = msblast.exe
タイムライン
- 2003 年 5 月 28 日: Microsoft は、Welchiaが使用したWebDAV の脆弱性からユーザーを保護するパッチをリリースしました。(Welchia は MSBlast と同じ脆弱性を使用しましたが、このパッチで修正された追加の伝播方法がありました。この方法は、MSBlast が使用した形式である 200,000 回の RPC DCOM 攻撃の後でのみ使用されました。) [11] [12]
- 2003年7月5日: Microsoftが16日にリリースしたパッチのタイムスタンプ。[2]
- 2003年7月16日: マイクロソフトは、まだ知られていないMSBlastからユーザーを保護するパッチをリリースしました。同時に、この脆弱性について説明したセキュリティ情報もリリースしました。[2] [13]
- 2003年7月16日頃: ホワイトハットハッカーが、パッチ未適用のシステムが脆弱であることを確認する概念実証コードを作成しました。コードは公開されませんでした。[5]
- 2003年7月17日: CERT/CCが警告を発し、ポート135をブロックすることを提案した。[14]
- 2003年7月21日: CERT/CCはポート139と445もブロックすることを提案した。[14]
- 2003年7月25日: xFocusは、Microsoftが7月16日に修正パッチをリリースしたRPCバグを悪用する方法に関する情報を公開しました。[15]
- 2003年8月1日: 米国はRPCバグを悪用したマルウェアに注意するよう警告を発令した。[5]
- 2003年8月11日以前: RPCエクスプロイトを使用する他のウイルスが存在する。[9]
- 2003年8月11日: ワームのオリジナルバージョンがインターネット上に出現。[16]
- 2003年8月11日: シマンテック・アンチウイルスが迅速な保護アップデートをリリース。[8]
- 2003年8月11日夕方: ウイルス対策会社とセキュリティ会社がWindows Updateを実行するよう警告を発した。[16]
- 2003年8月12日: 感染したシステムの数は30,000台と報告された。[16]
- 2003年8月13日: 2つの新しいワームが出現し、拡散し始める。(MSBlastの亜種であるSophosと、同じエクスプロイトを使用するまったく新しいワームであるW32/RpcSpybot-A) [17]
- 2003年8月15日: 感染したシステムの数は423,000台と報告された。[18]
- 2003年8月16日: windowsupdate.comに対するDDoS攻撃開始。(このURLは実際のサイトwindowsupdate.microsoft.comへのリダイレクトに過ぎなかったため、ほとんど失敗に終わった。) [16]
- 2003年8月18日: マイクロソフトはMSBlastとその亜種に関する警告を発しました。[19]
- 2003年8月18日: 関連する有用なワームであるウェルチアがインターネット上に出現した。[20]
- 2003年8月19日: シマンテックはウェルチアのリスク評価を「高」（カテゴリー4）に引き上げた。[21]
- 2003年8月25日: マカフィーはリスク評価を「中」に引き下げた。[22]
- 2003年8月27日: ワームの亜種の一つにHPに対する潜在的なDDoS攻撃が発見された。[8]
- 2004年1月1日: Welchiaが自身を削除する。[20]
- 2004年1月13日: MicrosoftはMSBlastワームとその亜種を除去するためのスタンドアロンツールをリリースしました。[23]
- 2004年2月15日: 関連するワームであるウェルチアの亜種がインターネット上で発見されました。[24]
- 2004年2月26日: シマンテックはウェルチアワームのリスク評価を「低」（カテゴリー2）に引き下げた。[20]
- 2004年3月12日: マカフィーはリスク評価を「低」に引き下げた。[22]
- 2004年4月21日: 「B」変異体が発見される。[22]
- 2005年1月28日: MSBlasterのB型の作成者が懲役18ヶ月の判決を受ける。[25]
副作用
このワームはWindows 2000またはWindows XPを実行しているシステムでのみ拡散しますが、 Windows Server 2003やWindows XP Professional x64 Editionなど、他のバージョンのWindows NTを実行しているシステムではRPCサービスを不安定にする可能性があります。特に、Windows Server 2003はバッファオーバーフローを検出してRPCSSプロセスをシャットダウンする/GSスイッチ付きでコンパイルされているため、このワームはWindows Server 2003では拡散しません。[26]
感染が発生すると、バッファオーバーフローによりRPCサービスがクラッシュし、Windowsに次のメッセージが表示され、通常60秒後に自動的に再起動します。[27]
システムのシャットダウン:
このシステムはシャットダウン中です。進行中の作業をすべて保存してログオフしてください。保存されていない変更は失われます。このシャットダウンは NT AUTHORITY\SYSTEM によって開始されました。
シャットダウンまでの時間: 時間:分:秒
メッセージ：
リモート プロシージャ コール (RPC) サービスが予期せず終了したため、Windows を再起動する必要があります。
これは多くのユーザーが感染した最初の兆候でした。これは感染したマシンを起動するたびに数分後に発生することがよくありました。カウントダウンを止めるための簡単な解決策は、「shutdown /a」コマンドを実行することです。[28]空の（ユーザーがいない）ウェルカム画面などの副作用が発生します。 [29] Welchiaワームも同様の効果がありました。数か月後、Sasser ワームが出現し、同様のメッセージが表示されました。
参照
参考文献
- ^ 「CERT Advisory CA-2003-20: W32/Blaster worm」。CERT/CC。2003 年 8 月 14 日。2014 年 10 月 17 日時点のオリジナルよりアーカイブ。2018年 11 月 3 日閲覧。
- ^ abc 「MS03-026: RPC のバッファ オーバーランによりコードが実行される可能性がある」。Microsoft サポート。Microsoft Corporation。2018年 11 月 3 日閲覧。
- ^ 「ミネソタ州の男性、MSブラスターコンピューターワームの亜種を作成して配布した罪で懲役18ヶ月の刑を宣告される」。米国司法省。2005年1月28日。 2021年2月17日閲覧。
- ^ Thomson, Iain (2003-09-01). 「FBIが「愚かな」Blaster.B容疑者を逮捕」vnunet.com。2008-11-01時点のオリジナルよりアーカイブ。2018-11-03閲覧。
- ^ abc 「MSBlast W32.Blaster.Worm / LovSan :: 削除手順」。able2know.org。2003年8月12日。 2018年11月3日閲覧。
- ^ 「Microsoft セキュリティ情報 MS03-026 - 緊急」。learn.microsoft.com。2023年 3 月 1 日。
- ^ 「Microsoft セキュリティ情報 MS03-039 - 緊急」。learn.microsoft.com。2023年 3 月 1 日。
- ^ abcd "W32.Blaster.Worm". Symantec. 2003-12-09. 2018年5月17日時点のオリジナルよりアーカイブ。 2018年11月3日閲覧。
- ^ ab 「脆弱性のライフサイクル」（PDF） 。インターネットセキュリティシステムズ社、2005年。 2016年12月24日時点のオリジナル（PDF）からアーカイブ。2018年11月3日閲覧。
- ^ 「Worm:Win32/Msblast.A」。Microsoft Corporation 。 2018年11月3日閲覧。
- ^ Bransfield, Gene (2003-12-18). 「The Welchia Worm」（PDF） pp. 14, 17 . 2018年11月3日閲覧。
- ^ 「Windows カーネル メッセージ処理のバッファー オーバーランにより、特権が昇格される可能性があります (811493)」。2018 年 11 月 3 日閲覧。
- ^ 「Microsoft Windows RPC 実装の欠陥」 2003-07-16。2016-03-04 にオリジナルからアーカイブ。
- ^ ab 「Microsoft RPC のバッファオーバーフロー」。2003 年 8 月 8 日。2014 年 7 月 15 日時点のオリジナルよりアーカイブ。2018 年 11 月 3 日閲覧。
- ^ 「Windows RPC インターフェイスにおける LSD のバッファ オーバーランの分析」。2003 年 7 月 25 日。2018 年 2 月 17 日時点のオリジナルよりアーカイブ。2018年 11 月 3 日に取得。
- ^ abcd Roberts, Paul F. (2003-08-12). 「Blaster worm spreading, expert warn of attack」. InfoWorld . 2018-11-03閲覧。
- ^ Roberts, Paul F. (2003-08-13). 「新しいBlasterワームの亜種が蔓延」 InfoWorld . 2018年11月3日閲覧。
- ^ Roberts, Paul F. (2003-08-18). 「Blaster worm attack a bust」. InfoWorld . 2018年11月3日閲覧。
- ^ 「Blaster ワームとその亜種に関するウイルス警告」。Microsoftサポート。Microsoft Corporation。2018年 11 月 3 日閲覧。
- ^ abc "W32.Welchia.Worm". Symantec. 2017-08-11. 2018年9月3日時点のオリジナルよりアーカイブ。 2018年11月3日閲覧。
- ^ Naraine, Ryan (2003-08-19). 「『友好的な』ウェルチアワームが大混乱を引き起こす」 InternetNews.com . 2018年11月3日閲覧。
- ^ abc 「ウイルスプロファイル: W32/Lovsan.worm.a」。McAfee 。 2003年8月11日。 2018年11月3日閲覧。
- ^ 「Windows 2000 または Windows XP を実行しているコンピューターから Blaster ワームおよび Nachi ワームの感染を除去するツールが利用可能」。Microsoftサポート。Microsoft Corporation。2014 年 8 月 6 日のオリジナルからアーカイブ。2018 年 11 月 3 日に取得。
- ^ 「W32.Welchia.C.Worm」。Symantec。2007年2月13日。2018年11月3日時点のオリジナルよりアーカイブ。 2018年11月3日閲覧。
- ^ “ミネソタ州の男性、MSブラスターコンピュータワームの亜種を作成して配布した罪で懲役18ヶ月の刑に処される”. 2005年1月28日. 2014年7月14日時点のオリジナルよりアーカイブ。 2018年11月3日閲覧。
- ^ Howard, Michael (2004-05-23). 「Blaster が Windows Server 2003 に感染しなかった理由」。Microsoft Developer。Microsoft Corporation。2018年 11 月 3 日閲覧。
- ^ 「Worm_MSBlast.A」。TrendMicro.com 。 2018年11月3日閲覧。
- ^ 「Blaster ワームウイルスまたはその亜種により、リモート プロシージャ コール (RPC) サービスに関する NT AUTHORITY\SYSTEM エラー メッセージが表示され、コンピューターがシャットダウンする」。HPカスタマー サポート。HP。2014年 11 月 10 日のオリジナルからアーカイブ。2018 年 11 月 3 日に取得。
- ^ 「Blaster Worm」。Techopedia 。 2018年11月3日閲覧。