マイドゥーム

マイドゥーム
Mydoom 実行後に開かれるランダム生成ファイルの例
タイプ	コンピュータワーム
技術的な詳細
プラットフォーム	Windows 2000、Windows XP の場合
書かれた	C++
製造中止	2004年2月12日 (Mydoom.A) 2004年3月1日 (Mydoom.B)

Mydoom は、 Microsoft Windowsを実行しているコンピュータを標的としたコンピュータワームでした。2004 年 1 月 26 日に初めて確認されました。これは、 Sobig ワームやILOVEYOUによって設定された以前の記録を上回り、史上最速で拡散した電子メールワームとなり、2024 年現在でもこの記録は破られていません。^[1]

Mydoom は、感染したコンピュータから迷惑メールを送信するよう、電子メールスパマーから依頼を受けたようです。 ^{[2]このワームには}、「Andy、私はただ仕事をしているだけです。個人的な意図はありません。ごめんなさい」というテキスト メッセージが含まれているため、多くの人がこのワームの作成者は報酬を受け取っていると考えています。当初、いくつかのセキュリティ企業は、このワームはロシアのプログラマーが作成したものだと確信していました。このワームの実際の作成者は不明です。

このワームは、送信が不適切な電子メールのように見え、最初にこのワームを受け取ったほとんどの人は、スパムだと思い、無視しました。しかし、最終的には世界中に広がり、少なくとも50万台のコンピュータに感染しました。^[3]

初期の報道では、ワームの唯一の目的はSCO Groupに対する分散型サービス拒否攻撃を仕掛けることだと推測されていました。Mydoom.A に感染したホストの 25 % が SCO Group を標的に大量のトラフィックを流しました。SCO Group 自身の主張に刺激された業界紙の推測では、ワームはLinuxまたはオープンソースの支持者によって、SCO Group の Linux に対する物議を醸した法的措置と公式声明への報復として作成されたものであるとされました。この説はセキュリティ研究者によって即座に否定されました。その後、このウイルスを調査している法執行機関によっても同様に否定され、組織化されたオンライン犯罪集団によるものとされています。

Mydoom は、コンピューター セキュリティ会社McAfeeの従業員であり、このワームの初期の発見者の 1 人である Craig Schmugar によって命名されました。Schmugar は、プログラムのコード行に「mydom」というテキストがあることに気付いた後、この名前を選択しました。彼は次のように述べています。「これは非常に大きなものになることは早い段階で明らかでした。名前に「doom」を含めるのが適切だと思いました。」^[4]

Mydoom は主に電子メールを介して感染し、送信エラーの形で現れます。件名は英語やフランス語などさまざまな言語で「エラー」、「メール配信システム」、「テスト」、または「メール トランザクション失敗」などです。メールには添付ファイルが含まれており、これを実行すると、ユーザーのアドレス帳などのローカル ファイルにある電子メール アドレスにワームが再送信されます。また、ピアツーピア ファイル共有アプリケーションKazaaの「共有フォルダ」に自分自身をコピーして、その方法で拡散しようとします。

Mydoom は、ラトガース大学、MIT、スタンフォード大学、カリフォルニア大学バークレー校などの特定の大学や、マイクロソフト、シマンテックなどの特定の企業の電子メール アドレスを標的にすることを避けています。初期のレポートでは、このワームはすべての .eduアドレスを回避すると主張していましたが、これは事実ではありません。

オリジナルバージョンであるMydoom.A は、2 つのペイロードを搭載していると説明されています。

• ポート3127/tcp上のバックドアにより、破壊された PC をリモート制御できるようになります (独自の SHIMGAPI.DLL ファイルを system32 ディレクトリに配置し、それをWindows Explorerの子プロセスとして起動します)。これは基本的にMimailで使用されるバックドアと同じです。
• 物議を醸している企業SCO グループのウェブサイトに対するサービス拒否攻撃。2004年 2 月 1 日に開始される予定。多くのウイルスアナリストは、このペイロードが実際に機能するかどうか疑問視していました。その後のテストでは、感染したシステムの 25% でのみ機能することが示されました。^[5]

2番目のバージョンであるMydoom.Bは、オリジナルのペイロードに加えて、MicrosoftのWebサイトをターゲットにし、hostsファイルを変更してMicrosoftサイトや一般的なオンラインウイルス対策サイトへのアクセスをブロックし、ウイルス除去ツールやウイルス対策ソフトウェアの更新をブロックします。このバージョンの流通コピーの数は少なかったため、Microsoftのサーバーへの悪影響はほとんどありませんでした。^{[6] [7]}

• 2004 年 1 月 26 日: Mydoom ウイルスは、北米で仕事が始まる直前の東部標準時午前 8 時(UTC 1300) 頃に初めて確認されました。最初のメッセージはロシアから発信されました。正午の数時間、ワームの急速な拡散により、インターネット全体のパフォーマンスが約 10% 低下し、Web ページの平均読み込み時間が約 50% 低下しました。コンピューター セキュリティ企業の報告によると、現時点で電子メール メッセージの約 10 通に 1 通が Mydoom によるものです。

Mydoom のサービス拒否 (DoS) 攻撃は 2004 年 2 月 1 日に開始される予定でしたが、ワームが最初にリリースされてから数時間後にSCO Groupの Web サイトが一時的にオフラインになりました。これが Mydoom によるものかどうかは不明です。SCO Group は、2003 年にコンピュータ ウイルスとは無関係の複数の分散型サービス拒否攻撃の標的になったと主張しました。

• 2004 年 1 月 27 日: SCO グループがワーム作成者の逮捕につながる情報に対して 25 万ドルの報奨金を出す。米国では、FBIとシークレット サービスがワームの捜査を開始する。
• 2004 年 1 月 28 日:最初の攻撃から 2 日後、ワームの 2 番目のバージョンが発見されました。Mydoom.B によって送信された最初のメッセージは、UTC 1400 頃に確認され、やはりロシアから送信されたようです。新しいバージョンには、SCO グループに対する元のサービス拒否攻撃と、2004 年 2 月 3 日から Microsoft.com を狙った同一の攻撃が含まれていますが、どちらの攻撃も、 Mydoom のバックドア機能を隠すための壊れた、または機能しないおとりコードであると思われます。Mydoom.B は、60 社を超えるコンピュータ セキュリティ会社の Web サイトへのアクセス、およびDoubleClickやその他のオンライン マーケティング会社が提供するポップアップ広告もブロックします。

Mydoom の拡散がピークに達し、コンピュータ セキュリティ企業の報告によると、この時点で電子メール メッセージのおよそ 5 通に 1 通が Mydoom によるものだという。

• 2004 年 1 月 29 日: Mydoom.B のコードにバグがあり、当初予想されていたほど急速に広がらなかったため、Mydoom の拡散は減少し始めました。Microsoft は、Mydoom.B の作成者の逮捕につながる情報に対して 25 万ドルの報奨金を提示しました。
• 2004 年 2 月 1 日: Mydoom に感染した世界中のコンピューター約 100 万台が、このウイルスによる大規模な分散型サービス拒否攻撃を開始しました。これは、これまでで最大の攻撃です。2 月 1 日が東アジアとオーストラリアで到来すると、SCO は1 月 31 日の17:00 UTC頃に www.sco.com をDNSから削除しました。(www.sco.com が実際に計画された DDOS 攻撃を受けたかどうかは、今のところ確認されていません。)
• 2004 年 2 月 3 日: Mydoom.B による Microsoft への分散型サービス拒否攻撃が開始され、Microsoft はこれに備え、ワームの影響を受けない Web サイト information.microsoft.com を提供しました。^[8]しかし、攻撃の影響は最小限に抑えられ、www.microsoft.com は引き続き機能しています。これは、Mydoom.B 亜種の配布が比較的少ないこと、Microsoft の Web サーバーの負荷耐性が高いこと、および同社が講じた予防措置によるものです。一部の専門家は、Microsoft のソフトウェア更新やその他の Web ベースのサービスよりも負荷が少ないと指摘しています。
• 2004 年 2 月 9 日: Doomjuice という「寄生型」ワームが拡散し始める。このワームは、Mydoom が残したバックドアを利用して拡散する。感染していないコンピュータは攻撃しない。そのペイロードは、Mydoom.B のペイロードに似ており、Microsoft に対するサービス拒否攻撃である。^[9]
• 2004 年 2 月 12 日: Mydoom.A は拡散を停止するようにプログラムされています。ただし、バックドアはこの日以降も開いたままです。
• 2004 年 3 月 1 日: Mydoom.B は拡散を停止するようにプログラムされていますが、Mydoom.A と同様にバックドアは開いたままです。
• 2004 年 7 月 26 日: Mydoom の亜種がGoogle、AltaVista、Lycos を攻撃し、人気の Google 検索エンジンの機能が平日の大半にわたって完全に停止し、AltaVista と Lycos のエンジンが数時間にわたって著しく遅くなりました。
• 2004 年 9 月 23 日: Mydoom のバージョン U、V、W、X が登場し、より強力な新しい Mydoom が準備されているのではないかという懸念が広がる。
• 2005 年 2 月 18 日: Mydoom バージョン AO が登場。
• 2009年7月： Mydoomは、2009年7月のサイバー攻撃で韓国と米国に影響を与え、再び出現した。^[10]

• コンピュータウイルスとワームのタイムライン

• MyDoom と DDoS 攻撃
• 「Email-Worm.Win32.Mydoom.a」。Viruslist.com。Kaspersky Lab。2006 年 10 月 15 日にオリジナルからアーカイブされました。
• SCO が Mydoom ウイルスの作者逮捕と有罪判決に報奨金を提供 - SCO プレス リリース、2004 年 1 月 27 日。この日付ではすでにサービス拒否攻撃が開始されていたという主張に注目してください。
• 「Mydoom」。F -Secure コンピュータ ウイルス情報ページ。F-Secure Corporation。
• 「Win32.Mydoom.A」。セキュリティ アドバイザー。Computer Associates International。2005 年 4 月 10 日にオリジナルからアーカイブ。2005年 4 月 30 日に取得。
• Symantec.com の Mydoom ワームに関する情報
• 「500億ドルの損害を引き起こしたコンピュータウイルス」。InfoGraphics Show YouTube チャンネル。