2004年07月27日(火) 10時57分

MyDoomの新亜種、急速に感染拡大--余波でグーグルなどが利用不能に（CNET Japan）

　米国時間26日、MyDoomワームの厄介な新亜種が出現したが、このワームは人気の4つの検索エンジンに攻撃を仕掛け、世界中のメールアカウントを目詰まりさせ続けている。

　MyDoom.MもしくはMyDoom.Oと名付けられたこの新亜種は、26日早朝に初めて発見され、その後急速に猛威を振るい、何百通ものメールを送りつけて多数のメールボックスを溢れさせている。また、このワームがパソコンに感染後、Google、Yahoo、AltaVista、Lycosの検索エンジンを使って自動的にウェブ検索を行なったことから、これら4サイトの反応速度が鈍くなり、ほとんど利用できなくなるという被害が出た。

　電子メールスクリーニング会社の MessageLabs は、この亜種の出現後最初の5時間で、同亜種のコピーを2万3000件以上遮断したと発表。また、ウイルス対策ソフトメーカーMcAfeeのウイルス追跡チーム、McAfee Avertでは、このワームの脅威について、高リスク評価より1段階下の「中（要警戒）」と評価している。このワームは西海岸時間午前6時前に発見されたばかりだが、すでに何万台ものPCに感染を拡大している。しかし、このワームによる最大の影響を被ったのは各検索サイトだ。

　Google、Lycos、Altavistaの各検索サイトは、26日午前の間中、散発的にアクセス不能状態に陥っている。また、Yahooもアクセスしにくい状況だ。これは同ワームの感染拡大によるものだとMcAfeeのウイルス研究者、Craig Schmugarは述べている。このワームはPCに感染すると、そのコンピュータのハードディスク内にあるメールアドレスを検索し、またその後先の4つの検索サイトで検索を行い、さらにメールアドレスを探すという。

　「これはいわば、偶然の（DoS）攻撃だ」とSchmugarは述べ、各検索サイトがメールアドレスを探す大量の検索要求を受けて、ほとんど使えなくなっていることに言及した。従来のMyDoom亜種はホストコンピュータのハードディスク内だけのメールアドレスを検索していたが、今回の亜種はこの点が異なっている。

　セキュリティ会社Symantecのセキュリティ対応センターでシニアディレクターを務めるVincent Weaferによると、このワームは検索サイトを利用し、感染したPCで使われているメインのメールアドレスと同じドメイン名の公開メールアドレスを検索するという。つまり、たとえばある人のPCが感染し、その人のメインのメールアドレスが「@mycompany.com」という文字列で終わるとすると、このワームは主に他のmycompany.comアドレスに感染を拡大しようとする。

　このテクニックにはこれまで見られなかった利点がいくつかある、とWeaferは指摘する。特に重要なのは、感染したメッセージが同僚から届いたメッセージのように見えるという心理的メリットだ。「自分の会社の誰かから送られたメッセージだと思わせるテクニックは、非常に巧妙だ」（Weafer）

　感染範囲を社内に限定していることも、技術的な利点となっているとWeaferはいう。「他のウイルスでの経験から、ローカルネットワーク内で感染を拡大するほうが急速に広まることが分かっている」（Weafer）

　McAfeeでは感染したコンピュータからワームを取り除く方法として、 1つの例 を紹介している。

　セキュリティ専門家らによると、この新亜種は欧州で最初に出現し、その後複数の要因が重なって急速に感染を拡大したという。この亜種から送られるメッセージは、メールサーバからのメール配達不能通知か、社内のIT管理者からの警告を装っている。偽の配達不能通知に引っかかる人はあまりいないだろうが、社内のIT管理者からの通知を装ったメールはよくできており、誤って信用してしまう従業員もいるようだとMcAfeeの事業ディレクター、Joe Telaficiは述べている。

　「会社のIT部門から、いかにも送られてきそうなメールに見えるので、だまされてしまう人もいるだろう」（Telafici）

　またこのワームは、企業のセキュリティシステムを迂回するテクニックとして、ウイルス作者らが最近好んで用いている「.zip」形式のファイルとしてメールに添付され、本文に記載されたメッセージはごくわずかだ。MyDoom.Mは主に単純な実行可能形式のプログラムファイルとして添付されているため、ユーザーが騙されてメッセージを開いたときにより大きな被害が出やすい。「感染までのステップが少ないので、感染が拡大しやすくなっている」（Telafici）

　PCがブロードバンド接続していて、PCが購入後数年しか経っていない比較的新しいものである場合、個々のユーザーはウイルスに感染してもパフォーマンスの大幅な低下に気付かないかもしれない、とSchmugarは言う。検索クエリ実行による影響はかなり小さい。しかしSchmugarによると、「中（要警戒）」と評価されるリスクの数は年間わずか数件しかなく、検索エンジン各社は困惑している模様だ。

　このワームはさらに感染システムに裏口を設置し、ハッカーが感染システムを乗っ取れるようにしている、とカーネギーメロン大学のコンピュータ非常事態対応チーム(CERT)シニア技術スタッフ、Marty Lindnerは付け加えた。システムに裏口を設け、メールアドレスを収集するワームはすでに複数報告されている。しかし今回の最新亜種は、検索エンジンでクエリを実行できると言われている点が目新しい。しかしLindnerは、CERTではまだこのクエリ機能を完全に確認していないと述べている。

この記事は海外CNET Networks発のニュースをCNET Japanが日本向けに編集したものです。

海外CNET Networksの記事へ

関連記事
グーグルなどの検索サイトに、MyDoom亜種が「偶発的なDDoS攻撃」 - 2004/07/27 10:27
「ビン・ラディンの自殺写真」に要注意--ウイルス感染の新たな手口が登場 - 2004/07/26 10:06
「死んだふり」して検知をすり抜ける新種のワームが登場 - 2004/07/15 10:31
「ゾンビPCにやられた」--アカマイ、DNSサーバへのDDoS攻撃を認める - 2004/06/17 10:33
RIAAのウェブサイトが5日間にわたりダウン--MyDoom亜種の仕業か - 2004/03/23 15:47
MyDoom、Bagle対NetSky --作者同士がウイルスコードで「罵り合い」 - 2004/03/04 10:13


　■CNET Japanニューズレター（無料）
　 毎朝メールで最新テクノロジー・ビジネス情報をお届けします。お申し込みはこちら。

[CNET Japan]
http://japan.cnet.com/ （CNET Japan）

http://headlines.yahoo.co.jp/hl?a=20040727-00000001-cnet-sci