■Blaster
ワーム(別名に WORM_MSBLAST.A, W32.Blaster.Worm,
W32/Lovsan.worm
等があります)は Windows OS に対して、
TCP135ポート(Microsoft RPC)に対して MS03-026 の脆弱性を悪用した攻撃データを送信します。
MS03-026の脆弱性の対策が行われていない Windows OS は、攻撃をうけ”感染”し、自らが攻撃者となり他のシステムに対して
"感染" 活動を開始します。Blasterワームは、"感染"
活動を行うことが目的であり、 Windows OS の書き換えやデータの破壊は確認されていません。しかしながら、感染活動により、Windows
OS の一部が異常終了または再起動することがあります。また、攻撃のためのデータによりネットワークの帯域を消費し、結果的にネットワーク全体のスループットが低下する恐れがあります。
■Blaster ワームの感染が行われてしまう条件
◎
RPC インターフェイスのバッファ オーバーランによりコードが実行さ
■
れる (823980)
のセキュリティ修正プログラムを適用していない場合
◎ Windows
2000 ・Windows XP ・Windows NTが使用している TCP 135
■ ポートをインターネットとの接続を行っているルーターもしくはファイ
■ アウォールで遮断していない場合
■Blaster ワームの対策は、Windows の修正プログラム MS03-026
の適用する必要があります。すでに感染されいる場合は、対策後に、別途駆除の作業が必要となります。
■コマンドによる確認方法
ver
コマンドを実行するとWindows の種類ごとに
以下のような結果が表示されます。Service Pack の適用状況 などにより Version の下四桁は変化することがあります。
| Windows |
実 行 結 果 |
影響 |
| Windows
98, 98se |
C:\>ver
Windows 98 [Version 4.10.2222]
|
無
|
| Windows
Me |
C:\>ver
Windows Millennium [Version 4.90.3000]
|
無 |
| Windows
NT |
C:\>ver
Windows NT Version 4.0
|
有
|
| Windows
2000 |
C:\>ver
Microsoft Windows 2000 [Version 5.00.2195]
|
有
|
| Windows
XP |
C:\>ver
Microsoft Windows XP [Version 5.1.2600]
|
有
|
| Windows
Server 2003 |
C:\>ver
Microsoft Windows [Version 5.2.3790]
|
有
|
Blasterワームの感染の確認
■ ネットワークからコンピュータを隔離します。
■ Ctrl + Alt + Delete キーを同時に押し、Windows のセキュリティを開きます。
■ [タスクマネージャ] をクリックします。
■ [プロセス] タブをクリックします。
■ 一覧からの上部にある [イメージ名] ボタンをクリックし、アルファベット順の表示■
にします。
■ "msblast.exe" を探します。存在する場合は、ワームに感染しています。駆除を■
行ってください。 存在しない場合は、感染しないための対策を行います。
■ タスクマネージャを終了します。 Blaster
ワームの駆除
■Blaster
ワームの駆除には、駆除ツールを利用することも出来ます。以下は、手動による駆除の手順です。
現段階では、まだネットワークに接続しないでください。
ワームの実行を停止します。
■ Ctrl + Alt + Delete キーを同時に押し、Windows のセキュリティを開きます。
■ [タスクマネージャ] をクリックします。
■ [プロセス] タブをクリックします。
■ 一覧からの上部にある [イメージ名] ボタンをクリックし、アルファベット順の表示■
にします
■ "msblast.exe" を選択します。
■ [プロセスの終了] をクリックします。
■ "タスクマネージャの警告" が表示されます。 [OK] ボタンをクリックしてウインド■
ウを閉じ ます。
■ タスクマネージャを終了します。
ワームを削除する
■ [スタート] - [ファイル名を指定して実行] を開きます。
■ 名前に cmd を入力します。 ■ [OK] ボタンをクリックします。
■ cmd.exe (コマンド プロンプト) が開きます。
■ 以下のコマンドを入力し、ENTER または RETURN キーを押し、実行します。
■ cd %windir%\system32
■ 以下のコマンドを入力し、ENTER または RETURN キーを押し、実行します。こ■
の操作によ り、ワームが削除されますが、実行前に入力に間違いが無いか十
■ 分に確認をお願いします。
■ del /f MSBLAST.EXE
■ ワームが存在しなかった場合にコマンド実行後に次のメッセージが表示される■
場合がありま す。この場合は、コンピューター上にワームが存在しないことを
■ 意味します。
■ MSBLAST.EXE が見つかりませんでした。
■ cmd.exe (コマンド プロンプト) を閉じます 。
レジストリを削除する
■ [スタート] - [ファイル名を指定して実行]を開きます。
■ 名前に regedit を入力します。
■ [OK] ボタンをクリックします。
■ レジストリ エディタ が開きます。
■ 以下のレジストリキーを開きます。
■ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
■ \CurrentVersion\Run
■ 右側の一覧から "windows auto update" の項目を選択します。
■ 右クリックのメニューを表示し、[削除] をクリックします。
■ "値の削除の確認"が表示されます。
■ [はい] をクリックします。
■ レジストリ エディタ を閉じます ネットワークの回復
■LAN ケーブル、電話線 や 無線 LAN のアダプタ(カード)を元に戻します。また、ADSL, CATV
等のブロードバンドルーターやモデムの電源も合わせて入れます。
影響の有無を確認する
Windows NT 4.0
■[スタート] - [コントロールパネル] - [アプリケーションの追加と削除]をクリックし
■ます。
■”アプリケーションの追加と削除のプロパティ”が表示されます。
■[インストールと削除] タブを選択
■プロパティ内のリストボックス内に以下の項目がある場合は、対策済みです。
■Windows
NT 4.0 Hotfix [See Q823980 for more information]
■見つからない場合は、対策が必要です。
Windows 2000
■[スタート] - [コントロールパネル] - [アプリケーションの追加と削除] をクリックし
■ます。
■”アプリケーションの追加と削除のプロパティ”が表示されます。
■[プログラムの変更と削除] をクリックします。
■「現在インストールされているプログラム」の一覧に以下の項目がある場合は、
■対策済みです。
■Windows
2000 ホットフィックス - KB823980
■見つからない場合は、対策が必要です。
Windows XP
■[スタート] - [コントロールパネル] - [プログラムの追加と削除] をクリックします。
■”アプリケーションの追加と削除のプロパティ”が表示されます。
■[プログラムの変更と削除] をクリックします。
■「現在インストールされているプログラム」の一覧に以下の項目がある場合は、
■対策済みです。
■Windows XP ホットフィクス - KB823980
■見つからない場合は、対策が必要です。
Windows Server 2003
■ [スタート] - [コントロールパネル] - [プログラムの追加と削除] をクリックしま
■す。
■ ”アプリケーションの追加と削除のプロパティ”が表示されます。
■[プログラムの変更と削除] をクリックします。
■現在インストールされているプログラム」の一覧に以下の項目がある場合は、
■対策済みです。
■Windows
Server 2003 ホットフィックス - サポート技術情報 (KB) 823980
■見つからない場合は、対策が必要です。
サービスパックの確認
■Windows NT と Windows 2000 をお使いの場合は、修正プログラムを適用する前に Service
Pack を適用する必要があります。現在適用している Service
Pack は、以下の手順で確認できます。
■デスクトップ上の「マイコンピュータ」を選択し、右クリックします。
■[プロパティ] をクリックします。
■[全般] タブをクリックします。
■システム:」の欄の記載を確認します。Service Pack
の記述が無い場合は、
■Service Pack が適用されていません。
Windows NT 4.0
■Windows NT をお使いの場合は、Service Pack 6a を適用する必要があります。Service
Pack 6a は、以下から入手可能です。
■■◎ Windows
NT 4.0 Service Pack 6a
Windows 2000
■Windows 2000 をお使いの場合は、Serverce
Pack 2、Service Pack 3 または 4 を適用する必要がありますService
Pack は、以下から入手可能です。できる限り最新の Service Pack を適用することをお勧めします。
■■◎ Windows
2000 Service Pack 2
■■◎ Windows
2000 Service Pack 3
■■◎ Windows
2000 Service Pack 4
セキュリティ修正プログラムの入手
■MS03-026 を適用することで本ワームの感染を防ぐことができます。以下の手順で入手することができますしかしながら、亜種の中に
MS03-007 を併用する複合型のワームが発見されました。 そのため、あわせて MS03-007 の修正プログラムが適用されていることを確認してください。Windows
2000 のお客様は MS03-013 の適用でも防ぐことが可能です。(Windows 2000 用の
MS03-013 の修正プログラムには、MS03-007 の修正内容が含まれています。)
■http://www.microsoft.com/japan/technet/security/bulletin/ms03-
■026ov.asp に接続します。
■お使いの Windows の修正プログラムをダウンロードします。
■ここでは、例としてデスクトップにファイルを保存します。
MS03-007, MS03-013 については、以下のサイトより MS03-026
と同様にダウンロードします。
■MS03-007:
■http://www.microsoft.com/japan/technet/security/bulletin/ms03-
■007ov.asp
■MD03-013:
■http://www.microsoft.com/japan/technet/security/bulletin/ms03-
■013ov.asp
対策
再度感染しないために、セキュリティ修正プログラムを以下手順で適用します。
Windows
NT 4.0
■セキュリティ修正プログラムをダブルクリックします。
■自動的にファイルの展開と適用が開始されますので、"Windows
NT Hotfix セ
■ットアップ"が表示されるまで待ちください。
■"Windows NT Hotfix セットアップ"
ダイアログに以下のメッセージが表示され
■ます。
■Windows NT 4.0 は、正常に更新されました。
フロッピー ディスク ドライブから
■ディスクを取り出し、[OK]
をクリックしてコンピューターを再起動してください。
■ システムのコンポーネントを変更または追加する場合は、もう一度
hotfix をイ
■ンストールしてください。
■[OK] をクリックし、システムを再起動してください。
Windows XP/Windows 2000/Windows
Server 2003
■セキュリティ修正プログラムをダブルクリックします。
■「KB23980 のセットアップウィザード」 が表示されますので、[次へ]
をクリックし
■ます。
■使用許諾契約が表示されます。 内容をご確認の上、[同意します]
を選択し、
■ [次へ] をクリックします。同意いただけない場合は、本守勢プログラムを適用す
■ることはできません
■インストールが開始されますので、しばらくお待ちください。 環境により時間がか
■かる場合があります。
■セットアップウィザードの完了が表示されます。 [完了] をクリックし、システムを
■再起動してください。
回避策
ポートをブロックする
■ファイアウォールまたは境界ルーター等で以下のポートを使用した通信を遮断、外部からの感染を防止します。ポートの通信を遮断する場合は、外から内
(In-bound) と 内から外 (Out-bound) の両方を遮断してください。 Out-bound
を閉じることで、社内から本ワームの活動がインターネットに広がることを防止します。
関連するポート
■TCP/UDP 135 (DCE endpoint resolution/Microsoft RPC)
■TCP 139 (NETBIOS Session Service)
■TCP 445 (microsoft-ds)
■TCP 593 (HTTP RPC Endpoint Mapper)
影響
■TCP/UDP 135 (DCE endpoint resolution)
ActiveDirectory を利用した環境 および DCOM
を使用したアプリケーションが使用できない場合があります。境界ルーターで対策した場合、社内
LAN での使用に問題はありません。
■TCP 139 (NETBIOS Session Service)
ファイル・プリンタ共有および、ユーザー認証が行えない場合があります。また、境界ルーターで対策した場合、社内
LAN での使用に問題はありません。
■TCP 445 (microsoft-ds)
ファイル・プリンタ共有および、ユーザー認証が行えない場合があります。また、境界ルーターで対策した場合、社内
LAN での使用に問題はありません。
■TCP 593 (HTTP RPC Endpoint Mapper)
RPC Over HTTP 機能が使用できません。
インターネット接続ファイアウォールを使用する
■Windows XP および Windows Server 2003 は、「インターネット接続ファイアウォール」を使用することができます。インターネット接続ファイアウォールを有効にすることで、既定の状態でインターネットなどの外部からの
RPC 接続が遮断されます。本機能を有効にするには、以下の設定を行います。
■[スタート] - [コントロールパネル] - [ネットワーク接続] を開きます。
■各接続を選択し、右クリックによりメニューを表示します。 メニューのプロパティ
■をクリックします。
■[詳細設定] タブを選択します
■「インターネット接続ファイアウォール」の「インターネットからのこのコンピュータ
■へのアクセスを制限したり防いだりして、コンピュータとネットワークを保護する]
■をオンにします。
■接続のプロパティを [OK] ボタンをクリックして閉じます。
■接続が複数ある場合は、手順 2 - 5 を繰り返します。
影響
■ローカル エリア接続 (LANとの接続) に対して本設定を行うと、ファイル共有・プ
■リンタ共有などが行えなくなることがあります。
■インターネット等の外部に向けて WWW サーバーなどを公開している場合は、
■別途設定が必要です
|