McAfee for Small Businesses

2003年2月6日

日本ネットワークアソシエイツ株式会社（本社：東京都渋谷区道玄坂1-12-1 渋谷マークシティウエスト20F、代表取締役社長：加藤 孝博、略称：NAC）は、2003年1月におけるコンピュータウイルスの届出状況を発表します。

今月の話題は、1月25日に発生したSQL/Slammer に尽きます。
このワームは、恐るべきスピードでインターネット上に広まり、 米時間で1月25日（土）早朝５時半の発生から週末にかけて最大の混乱を引き起こし、世界中の ネットワークをスローダウンさせ、アジアではネットワークをダウンさせました。

SQL/Slammerは、2002年７月に発見されHotfix が提供された、Microsoft SQL2000 / 脆弱点を利用して、 Microsoft SQL Serverのメモリ 上にのみ感染し、繁殖します。自分自身を他のServerに撒き散らす事を目的としており、システム破壊用のプログラムは持ち合わせていません。しかし、 Slammer はUDPプロトコル（ポート番号1434） に向けて多量のトラフィックを吐き出し、SQL Server間で感染し、これによって引き起こされたネットワークの過負荷状態は、ネットワーク上の全システムのパフォーマンスに影響を及ぼします。

SQL/Slammerはディスク上にデータを落とし込まないので、通常のワクチンソフトでは防ぐ事はでき ません。Server Resolution"サービス内のバッファオーバーフローを利用して対象サーバ内のシステム管理権を奪い広がります。殆どのE-mailよりもサイズが小さくパケット長は376バイトに過ぎないが、全てWormコードであり、以下のコードを運びます。

"h.dllhel32hkernQhounthickChGetTf" / "hws2" / "Qhsockf" / "toQhsend"

日本ネットワークアソシエイツは、他社よりいち早くウイルス駆除ツール、｢スティンガー｣を1月26日（日）の13時ころにウェブ上に公開し、またSnifferユーザに向けてSnifferフィルタ定義ファイルを提供しました。
また、1月28日（火）から30日（木）まで3日間、企業ユーザ、一般ユーザを対象に、ウェブ上で緊急対策セミナーをオン・デマンドベースで開催、正しい対策方法の伝達に努めました。
ネットワークアソシエイツのファイアウオール侵入検知製品、McAfee Desktop Firewallを使っているユーザは、この脅威を防御できました

Slammerワームについては弊社に、約２０件の問い合わせ がありましたが、あくまで問い合わせで、感染の報告ではありませんでした。
日本においては、企業内部のSQL ServerがSlammerワームに感染した例はあまりないと思われます。２６日午後から２７日朝にかけてSnifferで弊社が管理するサーバを解析した結果、観測されたSlammerの通信は１０個所だけでした。一方、弊社一部パートナー様のところでは非常に頻繁にパケットが届いたという情報もあります。このことから各企業のｲﾝﾀｰﾈｯﾄの接続部にSlammerのパケットが届く件数には、かなりばらつきがあったと考えられます。
日本ネットワークアソシエイツ 技術統括部長 加藤義宏は、今回、日本での被害が大きくなかったことについて、｢SlammerはSQL の脆弱点を利用しますが、この脆弱点を解消する（パッチにて対処する）ことは、コンピュータの管理者からすると大変に手間のかかる作業であると言えます。今回の脆弱点に対するパッチ提供は７月ですが、サービスパックとしてのの提供は今年に入ってからです。通常のデータベース管理者はサービスパックを待って問題点の解消を試みますので、対応が遅れたコンピュータはかなりの数に上ったことが想像できます。それでも日本での被害報告が少ないのはファイヤーウォールでのセキュリティが、有効に働いたためでしょう。｣ と語っている。また、｢今後危惧される点は、別なルートからの侵入です。外部（インターネット）からの侵入はファイヤーウォールで阻止できますが、バックドアから侵入された場合は意味をなしません。１日も早いパッチの適用と、バックドアに対応する為の、パーソナルなファイヤーウォールの採用が急務と言えるでしょう｣と、ユーザの方々へ注意を呼びかけている。

1月のウイルス感染トップ１０

＊感染

＊＊ ウイルス名は日本ネットワークアソシエイツ製品での検出名で、亜種も含みます。 また、以下は弊社オンラインウイルス対策サービスのVirusScan ASaP（注１）データセンターからの報告です。なお、この統計における「報告件数」とは、VirusScan ASaPサービスの契約企業でのウイルス検知、駆除のあった例を1件とカウントしたものであり、実際の各PCでの実数を示しているものではありません。

VirusScan ASaP（ウイルススキャン エーエスエーピー）でレポートされるデータ
VirusScan ASaPは、業界初のオンラインウイルス対策統合管理ソリューションとして２００１年6月より開始し、契約企業約1700社、ノード数は全国で約20万、ユーザの契約規模は2〜最大18,000で、SOHOから各分野の大企業、地方自治体まで業種も非常に多岐にわたっています。
VirusScan ASaPでは、当社の誇る世界トップクラスのウイルス研究機関「AVERT」が定めるウイルス対策ポリシーや作成したDATをいち早くユーザに提供し、ASaPデータセンターを中心にウイルス対策の運用・管理を一元化かつ自動化しています。
また、ASaPデータセンターでは、ノード毎のデータベースを持ち、ユーザ企業の各マシンにおけるウイルス対策の更新結果とウイルス検知・駆除の状況を常に把握しています。

＜本情報のお問い合わせ＞
日本ネットワークアソシエイツ株式会社 (http://www.mcafee.com/japan)