リモートアドミンツールによる個人情報漏洩 2

脆弱性を利用したトラップを仕掛ける例

脆弱性を利用してマルウェアを仕掛ける手口は別段目新しいものではないが、具体的な例として示す。利用したのは、原稿執筆段階でパッチ（MS06-001）がリリースされたWindowsのWindowsメタファイル（WMF）の脆弱性で、パッチリリース前にセキュリティホールを悪用したWebサイトが多数存在したりと話題にもなったゼロディの脆弱性である。

クラッカーのコミュニティでは、この脆弱性を突くWMFファイルのジェネレータのコードが流通したため、簡単にトラップを仕掛けることが可能となっていた（ただし、短時間で、多くのアンチウイルスソフトで検出の対象となっている）。　ジェネレータは、予めダウンロード、および実行させたいプログラム（RATなど）のURLを指定するだけでWMFファイルが生成できるというもので、たとえば、http://www.hoge.com/rat.exeへRATサーバをアップロードしておけば、あとはジェネレータでこのURLを指定してWMFファイルを生成すればよいわけだ。

生成したWMFファイルも適当なWebサーバにアップロードしておき、そのURLのリンクを方々へ張ればトラップが完成し、脆弱性のあるターゲットがリンクを踏めば自動的にRATサーバがダウンロード、そして実行される。セキュリティ意識の低いユーザなどは情報の収集やパッチの適応が疎かなどの理由から感染してしまう危険性が高い。

手順を見ればわかるように、脆弱性が発見され、攻撃コードが流通すれば、それを利用するだけのクラッカーはなんの知識も必要としない。

 ■図3：セキュリティホールを突くWMFファイルを生成するジェネレータ。ダウンロードするプログラムのURLを指定するのみで作成される。

■図4：作成されたWMFファイル。これを適当なWebサーバへアップロード。

 ■図5：ターゲットがトラップの仕掛けられたURLをクリックした時点で、指定したURLよりRATサーバがダウンロードされ、実行される。

リモートアドミンツールによる個人情報漏洩 3を読む