IE 6にパッチ未提供の脆弱性

「IE 6とIE 7に危険度「中」の脆弱性」 ITMedia 2008.6.27

ドリッパさんに教えてもらったＩＥ6のセキュリティホールですが。

攻撃者がこれを悪用すると、クロスドメインスクリプティング攻撃が可能になるという。

って、そう言われて「そうか！」と思える人がどれぐらい居るんでしょうね。

で「クロスドメインスクリプティング攻撃」って用語はどこかで解説されているんだろうかと検索してみたら、案の定、知ってて当然って記事が沢山出てきました。

クロスドメイン・スクリプティングは、他のセキュリティドメインにリダイレクトさせ、攻撃前と同じ権限でスクリプトを強制実行する攻撃手法だ。
（「Internet Explorer 7のセキュリティレベルに置いていかれないための基礎知識」）

「攻撃前と同じ権限」って、なんかメリットあるの？　何を言いたいのかさっぱり解りません。

なんとか雰囲気を伝えてくれるのが、たまたま見つけたまっちゃだいふくさんとこ。いや、お名前はかねがね。

クロスドメインスクリプティングが可能で、信頼できないHTMLを入れても警告が出ないそうです。銀行のページに外のページを入れても警告されないって事か。信頼済みドメインに入れられたら、こりゃーこまった。（まっちゃ大福さん）

う～ん、やっぱりそういう事であったか。
実は私も、わかったふりをしていてなんか不安、どう説明したら間違いがなく、かつ普通の人にも判ってもらえるかが判らなかったんです。

やっと問題が解ったので、このセキュリティホールの危険性について考えてみましょう。なんせWindows Update はこの問題をまだ解決してくれないんですから。ムチャクチャ危険だったら、しばらくはインターネットにもつながない方がよい？　もっとも記事に「中程度」とあるのでそれほどでも無いことは解りますが。

問題は、どういう場合にこの危険性に遭遇するのかっていうことです。

【お気に入り】からいつも使っている銀行のサイトを開いたら、表示されるURLはちゃんとその銀行なのに実は入力欄だけ悪人サイトなのでありましたぁ～。

なんてことがある訳ないでしょ。もしもそんなことになるんなら、Windows Update で解決できるまでインターネットは使わない方が良いですね。

大抵は銀行を語ったメールかなんかに、URLが書いてあって、そこにアクセスさせようってんじゃないですかね。ん？　それはクロスサイトスクリプティング？
クロスドメインスクリプティングって説明するのが難しいですねぇ。記事には

Secuniaは対処策として、信頼できないWebサイトにアクセスしないこと、そうしたサイトのリンクをクリックしないことを勧めている。

ってありますが、そりゃそうだけど・・・・。

もうひとつ、ITProの記事もありました。

「IE6にパッチ未公開の脆弱性、Cookieなどを盗まれる危険性あり」　2008/06/27

この記事はクロスドメインスクリプティングの説明をちゃんとやってますね。さすが勝村さん。で、何に気をつければよいのだろう。クロスドメインスクリプティングの嫌らしいところは、それがうまく言いにくいところですね。

という状態で、防衛策として何が出来るんだろう。「IEのセキュリティ設定で「アクティブスクリプト」を無効に」なんて書いてありますから、ＩＥを「高」にすればとりあえず一安心なんでしょうが、それもあれこれ注意事項があるし。

もっとも簡単なのが、IE6を使わないで、IE7に上げてしまうってことでしょうか。どうせそのうちIE7になるんだし。ＩＥ7にだってセキュリティホールはあるけど、IE6よりはずっと少ないです。

ん？　脳脂肪から新着情報が！

JPCERT/CCでは脆弱性分析結果 緊急となっているそうです。

JVNVU#923508　Microsoft Internet Explorer 6 にクロスドメインの脆弱性（緊急）
JVNVU#516627　Microsoft Internet Explorer におけるフレーム間のアクセスを適切に制限できない脆弱性（緊急）

「IE7とXPの組み合わせ・・・」の続報

10.12「IE7とXPの組み合わせに危険な脆弱性」の続報ですが。

「Adobe脆弱性悪用のPDF、パッチ公開翌日に出現」　ITmedia 2007.10.24

Pidief.Aを含んだスパムメールが既に相当数出回っており、特定企業を標的としたターゲット攻撃に使われている可能性があるという。
問題のメールは「invoice」「statement」「bill」など請求書を連想させる件名で配信され、「INVOICE.pdf」「YOUR_BILL.pdf」「BILL.pdf」「STATEMET.pdf」などの名称のPDFファイルが添付されている。

だそうです。

以降の続報はこちらHOTFIX-BBS からご覧ください。

IE7とXPの組み合わせに危険な脆弱性

IE7とWindows XPの組み合わせに危険な脆弱性、マイクロソフトが公表(ITpro)

嫌なニュースですねぇ。
セキュリティ アドバイザリ (943521) を見ても、有効な回避策が無い。

コンピュータを保護する
マイクロソフトは引き続き、ファイアウォールを有効にする、ソフトウェアの更新プログラムを入手する、およびウイルス対策ソフトウェアをインストールするなどの・・・・

いや、それはやってるって。

Windows を更新された状態に保つ
• すべての Windows ユーザーは、最新のマイクロソフトのセキュリティ更新プログラムを適用してください。

出てるのはやってるって、出てないから「セキュリティ アドバイザリ」なんでしょ。
と嫌味のひとつも言ってやりったくなりますが。

で、事実上の回避策は。

• Firefox version 2.0.0.5　
  使っている人は最新バージョンにあげてあれば大丈夫
• Netscape Navigator version 9.0b2　
  使ってる人は殆ど居ないでしょう。
• mIRC version 6.3　　　　
  そんなもんやってないから無視
• Adobe Reader/Acrobat version 8.1 and prior (when opening PDF files)
  頭が痛い。最新バージョンでもダメ。
• Outlook Express 6 (e.g. when following specially crafted links in VCards)
  IE7を入れるぐらいならOE も　Windows Live Mailにすれば？
  それとメールはテキスト表示がセキュリティ上は基本でしょう。
  「例えば、VCardsで特に、作られたリンクに続くとき」
  とあるんだからテキスト表示なら騙されにくい。それに訳の判らないリンクをクリックするほうが間違い。
• Outlook2000　(上記と同文)
  個人的にはOutLook2007でメールを受けているから大丈夫。　Outlook2000でメールをやるのはお勧めしません。テキスト表示に出来ないし。

Other versions and applications may also be affected.
他にもあるかもしれないと。悪人どもがそれを見つけて悪用を始めるのとマイクロソフトが修正プログラムを出すのとどっちが早いかですね。

で、汎用の護身術はいつもの「信頼できないリンクはクリックしない。信頼できないWEBサイトにはアクセスしない」ですね。

2007/11/14追記

この件、やっとマイクロソフトからもWindows Update が出ました。
MS07-061 – 緊急
Windows URI 処理の脆弱性により、リモートでコードが実行される (943460)
です。

「Peacomm」の新たな感染テクニック

ITProサイトに「Peacomm」の新たな感染テクニック と言う記事がありました。シマンテックのレポートの抜粋のようですが。しかしこのウイルス、実に象徴的なウイルスです。

そこで防衛の立場から何が出来ていれば防げるのかと言う点を中心に要点をまとめてみます。

• 攻撃の手段にメールを使うが、メール自体にはウイルスは無く、罠サイトへ誘導するだけ。そこでユーザ自ら（騙して）ダウンロードさせる。
• 自分でダウンロードしなければ「Windows Media Playerのセキュリティ・ホールを攻撃する悪質なJavaScriptコード」が動く。JavaScriptが無効であればセキュリティ・ホール攻撃は出来ない。
• ユーザ自ら（騙して）ダウンロードさせられそれを実行しても、またはセキュリティホールが残っていて、JavaScriptが有効でそれを突かれても、ユーザが管理者権限を持たずにログインしていれば、これ以下の操作は行われないが、管理者権限でログイン中であればPCを乗っ取られる。
• 具体的には「explorer.exe」にシェル・コードのようなのウイルスコードを注入してウイルスプロセスを稼働させる。・・・・エクスプローラのクラッシュは回避する。（異常に気がつかない）
• ウイルスのプロセスとそのファイルを隠す機能を持つ（ルートキット機能）
• プロセス生成を監視し，ウイルスの邪魔になるソフトウエアの実行を停止する。
• 重要なシステム・ファイルへのアクセスを禁止し，メモリーに読み込まれた改変済みのファイルとの違いをチェックされないようにすることで，ルートキット検出機能の動作を阻む。感染したPCで感染を検出することは極めて困難

たったひとつのウイルスの解説に、現在問題な全ての要素が含まれていました。なんとまぁ。

市販ソフトで検知できないボット

先週の記事ですが。総務省と経産省の対策プロジェクトで

市販ソフトで検知できないボット、4ヶ月で1711件　2007/04/26

両省ではISP（インターネット提供業者）などと組み、これら未知検ボットの駆除ツールを公開し、注意喚起を促している。未知検ボットの73％にあたる1259件に対し、駆除ソフトをネット上で公開。感染ユーザー6005人に呼びかけたところ、30.8％の1851人が駆除ツールをダウンロードした。

具体的には、インターネット上に設置したおとりPCに対し、感染活動を行うボットプログラムを収集。その情報を分析することで、感染ユーザーを特定し、ボットの駆除ツールを作成して感染ユーザーに駆除ツールの適用を呼びかけている。

市販ソフトで検知できないボットは収集検体総数974,999内同定検体数31,082の5.5％。
ただし、それが複数の市販ソフトでの検出数であるなら、ひとつの市販ソフトで検知できない数はおそらく2～3倍にはなるだろう。これが市販ウイルス対策ソフトがあてに出来ないと言うことになるのかと言うとそうでもない。

ボットは先行してＰＣをこじ開けるトロイとかの先発隊がダウンロードしてくるもので、ボットがダウンロードされる前に既に負けている。

また、ボットのバリエーションに比べればＰＣをこじ開けようとする先発隊の方が数は少なく、1回こじ開けられたＰＣに何度も、何種類ものボットが埋め込まれる可能性もある。勝負はボット以前の処であり、ボットはあくまで負けた結果。

マカフィー、ルートキットの仕組みを調査した入門白書を発表　2007/04/27

マカフィーによると、Windowsで動作するステルスコンポーネントは過去5年で急激に増加した。2001年の時点で存在したルートキットはわずか27だったが、2006年には2400に達している。McAfee Avert Labsでは、「ルートキット技術は今後も浸透し、2007年末にはWindowsで動作するステルスコンポーネントは新たに2000以上発見される」と見ている。

これもボットが使うテクニックで、教訓としては一旦入り込まれたら見つけることは至難の業と。
それに比べたら入れてやらないことはいかに簡単か。

rootkitのその後

「Rootkit の話題って目立ちましたね・総集編」の続きです。

1. アンインストール・ツールを悪用するWebサイト
2. セキュリティ企業の衝撃
3. ソニーBMG社に対する訴訟
4. XCPの完全な除去は
5. 問題はＸＣＰだけでは無かった
6. マイクロソフトの対応
7. 年が明けてrootkit問題は
8. マイクロソフトも今後rootkit対策を強化
9. PCをコントロールする権利は誰にあるのか

１．アンインストール・ツールを悪用するWebサイト

前述の通り、ソニーBMGが問題のコンポーネントを削除するサービスパックを公開したは11月2日です。第四段階でソニーBMGの「rootkit」は、悪者が自分の姿を隠すのに悪用されはじめた（正確には報告された）のは11/10でした。

そしてダン・カミンスキーが「惑星ソニーへようこそ」で「少なくとも56万8200のネームサーバがrootkitに関連するDNSクエリーに答えている」と報告したのと同じ日、2005年11月15日にプリンストン大学のEd Felten教授によって「ソニーが提供していたアンインストール用ツールによって、コンピュータに深刻な脆弱性が生じるおそれがある」と公表されました。

早くもその翌日、11/16 3:52 PM PST　CNET News.com　に　Attack targets Sony 'rootkit' fix　と言う記事が投稿されました。ソニーBMGの「rootkit」CD修正用プログラムがさっそく攻撃の的に と。このアンインストーラの配布は直ちに中止されましたが、約半月の間にこのアンインストーラを使った人はかえって穴を広げてしまった訳です。

ソニーBMGのアンインストール・ツールを悪用するWebサイトが出現　（ITPro：2005/11/18）

ところが，同社のWebサイトで公開していたアンインストール・ツール（ActiveXコントロール）には問題があることが発覚。ツールの公開を中止した。ツールを悪用すれば，攻撃者のWebサイトへIEでアクセスしたユーザーに任意のプログラムを実行させることなどが可能となる。

　そして今回，実際にツールを悪用するWebサイトが確認されたという。ソニーBMGのWebサイトへアクセスしてツール（ActiveXコントロール）をインストールしたユーザーが，それらのWebサイトへアクセスすると，パソコンを再起動させられたり，攻撃者が指定したプログラムがダウンロードおよび実行されたりする可能性があるという。

古いアンインストール・ツールを実行してしまったユーザーが取りうる回避策の一つは，Webページ中のスクリプトからローカルのActiveXコントロールを呼び出されないようにすること。
　具体的には，IEのセキュリティ設定を変更する。「インターネット オプション」の「セキュリティ」タブから，「インターネット」ゾーンのセキュリティレベルを「高」にすれば，ActiveXコントロールの悪用を防げる。「レベルのカスタマイズ」から「スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行」を「無効にする」ことでも防げる。

ただしこれらの方法だと，問題のActiveXコントロール以外も実行できなくなる。レジストリを変更すれば，問題のActiveXコントロールだけを呼び出せないようにできる。米Microsoftの情報によると，問題のActiveXコントロールのクラス識別子（CLSID）が{80E8743E-8AC5-46F1-96A0-59FA30740C51} および {4EA7C4C5-C5C0-4F5C-A008-8293505F71CC} なので，これらに「Kill Bit」を設定すれば悪用を防げるとしている。

国内ではAntinnyまでが・・・・

Antinnyを投下するトロイの木馬、コピー防止ソフト「XCP」で隠蔽工作か 　2005/12/08

米Symantecは6日、「W32.HLLW.Antinny」を投下するトロイの木馬型ウイルス「Trojan.Welomoch」を警告した。コピー防止ソフト「XCP」を悪用して、Antinnyの存在を隠すという。

２．セキュリティ企業の衝撃

その一方でセキュリティ企業の間でもこの問題はかなりの衝撃を与えました。

SONY BMGが加速した、セキュリティベンダーのrootkit対策 (1/2)　2005.11.17

マーク・ルシノビッチ氏は先日、SONY BMGが自社のデジタル著作権管理（DRM）技術の存在を隠すためにひそかにrootkit的な技術を使っていることを指摘したが、スパイウェアの研究者たちは、そのかなり以前から、この物議をかもしているSONY BMGのXCP技術の痕跡を、感染したWindowsマシン上で発見していたという。
　問題は、彼らにはそれが何なのか見当がつかなかったことだ。
　アンチスパイウェアフォーラムの常連であるエリック・ハウズ氏は次のように語っている。「皆、何カ月も前から、このrootkitに遭遇していたが、われわれにはそれがどこから来ているものなのかが分からなかった。ソニーと結び付けて考えるなど、誰にも思いつかなかった」

フィンランドのアンチウイルスベンダーF-Secureはセキュリティスイートに最初にrootkit探知エンジンを追加しているが、Symantec、McAfee、Trend Microなど、そのほかの大手アンチウイルスベンダーにとっては、まだ本当の意味でのrootkit探知／削除機能は存在していない。

「技術的には、rootkit技術の方が理解が難しい。rootkitは実際にはウイルスでもマルウェアでもないからだ。rootkitは単に、見つからない場所にマルウェアを配置するためのツールだ。当然ながら、セキュリティソフトウェアを打ち負かすことが、rootkitの次なるステップとなるだろう」と同氏。

セキュリティ専門家のブルース・シュナイアー氏は

ソニーCDが明らかにしたセキュリティー業界の本質的問題(上)　11.17

ここで本当に眼を向けなければならないのは、われわれのコンピューター利用を支配しようとしている大手メディア企業と、われわれを守ってくれるはずのセキュリティー企業とが、なれ合っているのではないかということだ。

ソニーCDが明らかにしたセキュリティー業界の本質的問題(下)　11.21

現時点の推計でも、ソニーBMG社のルートキットに感染したパソコンは全世界で50万台以上にのぼる(日本語版記事)とされている。この感染台数は驚異的な数字で、『ブラスター』、『スラマー』、『コード・レッド』、『ニムダ』といったウイルスに匹敵する史上最悪規模の感染と言える。・・・

間違いではないが、推定200万台近いと考えれば「匹敵」ではなくそれを大きく上回るかもしれない。それはともかく、セキュリティ専門家のブルース・シュナイアー氏はウイルス対策ソフトベンダーの一見生ぬるい対応を強く非難します。

しかし、セキュリティー企業がルシノビッチ氏が気づくまでこの件を突き止められなかったことよりも、発覚後も沈黙を決め込んでいたことのほうが、はるかに大きな問題なのだ。いつもなら、新種のマルウェア(悪意のあるソフトウェア)が見つかると、セキュリティー企業は必死になってウイルス駆除とネットワークの感染防止に努める。しかし今回は違った。

　米マカフィー社は11月9日になってやっと検出プログラムを追加したが、11月15日現在では、ルートキットの削除はせず、ファイルを隠す機能の除去しか行なっていない。同社自身、ウェブページでこれがひどい妥協の産物であることを認めている。最新のウイルス定義ファイルを使えば、「XCPの検出、駆除、再インストールの防止が可能」だとマカフィー社のウェブページに書かれている。XCPというのは、特定のファイルを隠すプログラムのことだ。「駆除を行なっても、CDからインストールした著作権保護メカニズムが損なわれることはありませんが、XCPのアンインストールが原因と思われるシステムクラッシュが複数報告されています」。何とも立派なご忠告だ。

　米シマンテック社の場合、ルートキットへの対応は――好意的な言い方をすれば――良くなってはきている。同社は当初、XCPは断じてマルウェアではないと考えていた。そして、11月11日になってやっとファイルを隠す機能を除去するツールを発表した。だが、11月15日時点でも「このルートキットは、正規のアプリケーションを隠すために設計されたものですが、悪意あるソフトウェアを含む他のオブジェクトを隠す目的で使われる可能性もあります」との説明文を掲載しただけで、ルートキットに対してはっきりした評価は示していない。

これはしょうがないことでしょう。かつてアドウエアを検出・除去して訴訟を起こされたこともありますから。企業としては自分だけの価値観で人のＰＣからプログラムを削除することは出来ません。それなりの社会的コンセンサスが必要です。

この事件の意義はそのコンセンサスのきっかけになったことでしょう。そしてそれはこういう方向へ向かいつつあると思います。

ユーザーのPCをコントロールする権利は誰にあるのか 2005.11.25

３．ソニーBMG社に対する訴訟

この間にアメリカを中心にソニーBMG社に対する訴訟が始まります。

米テキサス州，ルートキット型コピー防止付きCDを巡ってソニーBMGを提訴 (日経 IT Pro, 2005.11.22)
電子フロンティア財団もSONY BMG相手取り集団訴訟 (ITmedia, 2005.11.22)

訴訟問題に解決を見たのは年が明けてからでした。

ソニーBMG、「rootkit」集団訴訟で和解が成立  2006/01/04

XCP CDを購入した消費者は、200以上のタイトル一覧から好きなアルバム3枚をダウンロードするか、7.50ドルの返金とアルバム1枚を無料でダウンロードするかを選択できる。このインセンティブを受けるには、ソニーへXCP CDを返却するか、11月14日以降に小売店にCDを返却したか、交換したことを証明するレシートを提示しなければならない。

４．XCPの完全な除去は

問題のｒｏｏｔｋｉｔですが、かなりしぶといものであることが日本語記事でも判ってきます。

元麻布春男の週刊PCホットライン: rootkit入り環境で各種セキュリティソフトを試す (PC Watch, 11/25)

前回まで、何回かにわたってSony BMGのrootkit問題について取り上げてきた。しかしそこには、rootkitによる被害を受けないためにはどうすれば良いのか、もしXCPが含まれたCCCDを再生したことのあるユーザーはどうすれば良いのか、という極めて重要なポイントが抜けていた。いつまでもXCPを非難しているだけでは何も解決しない。今回は、この点を考えてみたいと思う。

で、結論は、rootkitを無害化は出来るけど、「XCPの完全な除去は現時点では不可能」。
う～ん。(^_^;)

ソニーBMG　が問題を解決したアンインストーラの新版をリリースしたのは12/4(US)です。

ソニーBMG，“ルートキット”を削除するツールの新版をリリース (日経 IT Pro, 2005.12.05)

今回公開された新しいアンインストール・ツールは，サービス・パックの機能も備える。つまり，XCPをアンイストールするか，ルートキットの機能だけを削除するのかユーザーが選択できる。また，古いアンインストール・ツールをパソコンから削除する機能も備える。・・・
加えて同社では，今回の新ツール公開に併せて，XCPに関するページ（http://cp.sonybmg.com/xcp/）へのリンク「INFORMATION ON XCP CONTENT PROTECTION」を，同社のトップページ（http://www.sonybmg.com/）に掲載した。

すぐにこうすればよかったのにと思いますが。

コピープロテクションXCPのアンインストーラを検証　2005.12.22
～rootkit問題ようやく決着?（元麻布春男の週刊PCホットライン）

アンインストールを選択すると、ファイルのコピー作業が行なわれ、すぐに処理は完了する。システムの再起動を促す画面3が表示され、再起動すると、system32フォルダからXCPは消えていた。ちなみに、ユーザーが無理やりXCPを削除し、WindowsがCD-ROMドライブを認識しなくなった状況を作り出して、アンインストーラを実行してみたが、ちゃんとCD-ROMドライブが復活することを確認した。

５．問題はＸＣＰだけでは無かった

しかし問題はＸＣＰだけでは無かったようで、ＸＣＰとはべつのCDコピー防止技術であるMediaMaxに関しても新たなセキュリティホールが有りました。
ところがSONY BMGがやっと用意したXCPアンインストーラもプリンストン大学のEd Felten教授はこのXCPアンインストーラもまたコンピュータに深刻な脆弱性が生じるおそれがあることを指摘されます。

SONY BMGのMediaMax脆弱性問題でEFFが対策に協力 2005.12.07
米ソニーBMG、別方式のCDも問題が発覚 　2005.12.07
ソニーBMGのコピー防止機能付きCDでまた問題--今度はパッチに脆弱性　2005.12.9
EFFが態度一転、「SONY BMGのパッチはインストールしないで」　2005/12/09

また、MediaMaxの使用許諾契約を拒否しても、同技術が組み込まれたCDをPCのドライブに挿入しただけで、攻撃者がトラップを仕掛けられるようになることも分かったという。
　フェルテン氏はWindows PCユーザーに対し、MediaMaxのパッチを使わないこと、先日リリースされたMediaMaxのアンインストーラを使わないこと、MediaMaxが組み込まれたCDをPCのドライブに入れないことを勧めている。
　SONY BMGは8日に、「潜在的なセキュリティ問題に対応するため」として、新しいMediaMaxパッチをリリースした。さらに同社は同技術のアンインストーラもアップデートした。

６．マイクロソフトの対応

マイクロソフトがこの問題にコメントしたのは国内記事では11/13のMicrosoftも「駆除」決定でした。それが実際にでてきたのは翌12月の10日にリリースされた「悪意のあるソフトウェアの削除ツール V1.11 」が第一弾です。ウイルス対策掲示板 では・・・

投稿者/ Yukky -(2005/12/14(Wed) 01:10:31)

このウイルス対策掲示板 Ver. 2 でも話題になった
◆MS が Sony の Rootkit を駆除決定
　 http://antivirus.ddo.jp/abc/cbbs/cbbs.cgi?mode=all&namber=686&type=0&space=0&no=0#723

悪意のあるソフトウェアの削除ツール V1.11で対応したようです。

◆ダウンロードの詳細 : Microsoft® Windows® 悪意のあるソフトウェアの削除ツール (KB890830)
　 http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=ja
から「Windows-KB890830-V1.11-JPN.exe」をダウンロードし実行。

「このツールで検出および削除できる悪意のあるソフトウェアの一覧を表示します。」
をクリックすると、rootkit関連で「WinNT/F4IRootkit」があります。
◆Malicious Software Encyclopedia: WinNT/F4IRootkit
　http://www.microsoft.com/security/encyclopedia/details.aspx?name=WinNT%2fF4IRootkit
> Technical Analysis
>
> WinNT/F4IRootkit is a kernel-mode rootkit distributed on certain Sony BMG audio CDs.
> These CDs use the Extended Copy Protection (XCP) technology developed by First 4 Internet Ltd (F4i).

Microsoft がどういう表現をするか、少し興味があったのですが、名指しですね。

第2弾は2005.12.14　の月次Windows Updateで　MS05-054　をリリース。ランクは最上位の「緊急」です。 

 Internet Explorer 用の累積的なセキュリティ更新プログラム (905915)

この更新プログラムはそのほかのセキュリティ関連の変更を含みますか?

この累積的な更新プログラムは First4Internet XCPアンインストーラ ActiveX コントロール Kill Bit を設定します。・・・
このコントロールの古いバージョンにはセキュリティの脆弱性が存在していることが判明しました。このコントロールをインストールしたお客様を保護するため、この更新プログラムを適用すると Internet Explorer で古いバージョンのコントロールが実行されなくなります。すでにサポートされていないこのコントロールの古いバージョンに Kill bit を設定することで、コントロールの実行を防ぎます。

12月のMSアップデートはSONY BMGのDRMも駆除　2005.12.14 ITmedia

　「システムにXCPがインストールされていて、ユーザーが最初のアンインストーラを実行した場合に、今回のアップデートはその（ActiveX）コントロールを削除する」（フェルテン氏）　Microsoftの不正コード削除ツールは、SONY BMGのXCPをまだ削除していないユーザーが、同プログラムを削除するのに使えると同氏は語る。

MS、12月の月例パッチを公開--ソニーBMGの「rootkit」問題に関するものも　2005.12.14

Symantec Security ResponseのシニアマネージャーOliver Friedrichsは、「これらの脆弱性を悪用して脆弱なコンピュータに悪質なソフトウェアをインストールし、オンライン詐欺を行うケースが次第に増えている」と声明の中で述べ、「Symantecは、こうした脆弱性の一部を悪用した攻撃をすでに検知しており、ユーザーにはなるべく早急にアップデートを適用するよう勧めている」と続けた。

マイクロソフトがウイルス削除ツールの新版，ソニーBMGの“ルートキット”に対応 
　2005.12.14

　それを受けてマイクロソフトでは，「Windows AntiSpyware（ベータ版）」や「悪意のあるソフトウエアの削除ツール」の新版において，該当プログラムを検出・駆除できるようにすることを11月12日に表明（関連記事）。その予告どおり，今回公開された新版バージョン1.11では，ルートキットの機能を持つXCPのモジュールを「WinNT/F4IRootkit」として検出・駆除する。

伝家の宝刀 Kill bit が出てきましたね。最近おなじみです。ただしこのパッチ、及び悪意のあるソフトウェアの削除ツールはXCPをアンイストールするものではありません。それをやると法務的に問題が生じます。マイクロソフトが行ったのはその中のルートキットの機能だけを、そしてその最初のインストーラが作ってしまうセキュリティホールを塞ぐものです。XCPを除去することはソニーBMG　が12/4(US)から配布を始めた新版アンインストーラだけです。

７．年が明けてrootkit問題は

年が明けてrootkit問題は思わぬ方向へ飛び火しました。Symantecの「Norton SystemWorks」にも「コンピュータに不正なファイルを隠す場所を攻撃者に与えかねないrootkitタイプの機能を使っていた」と。Symantecの当初の目的は、ユーザーが誤ってファイルを削除してしまわないようにするためだったが「攻撃者が最近利用する手口を考慮し、フォルダを隠すことの意味を見直した」と。

SymantecのNortonにもrootkit  2006/01/12

SONY BMGのrootkitを指摘したWindows専門家マーク・ルシノビッチ氏と、フィンランドのウイルス対策企業F-Secureの研究者が、SystemWorksの問題を発見したとされている。

　rootkit対策ユーティリティ「RootkitRevealer」の開発者であるルシノビッチ氏は、商業ベンダーがrootkitタイプの機能を利用するのは「非常に気掛かりなこと」だとしている。

　「問題が起きる恐れがある場所に何かを隠すというのは非常にまずい考えだ。商業ベンダーにそうしたやり方がますます見られるようになっている」と同氏はeWEEKの取材に応えて語った。

　「rootkitタイプの技術を使うと、たとえその目的が良いことであっても、ユーザーがマシンを完全にはコントロールできなくなる。持ち主がコントロールできなければ、そのシステムのセキュリティと健康を管理するのは不可能だ」（同氏）

　ルシノビッチ氏は、Symantecは隠しディレクトリがユーザーにリスクをもたらすという警告を「非常に素直に聞き入れた」と語る。「SONY BMGの場合は、rootkitは同社のために組み込まれていた。Symantecの場合、同社は本当に（問題の機能が）コンシューマーのためになると信じていた。わたしにはそのメリットが分からないが、同社には善意があったと思う。同社がこれを変更したのは、正しい対応だった」

F-Secureのウイルス対策研究ディレクター、ミッコ・ヒッポネン氏は、同社の「BlackLight Rootkit Elimination Technology」も、Windows FindFirst/FindNext APIから隠されたNProtectディレクトリを検出したとしている。

　「2005年3月にBlackLightの最初のβ版をリリースしたときにこのことに気付いた。それから社内の研究室でテストを行い、Symantecでこの機能を確認した。これは大きな問題ではないが、同社がこれを修正したことをうれしく思う」とヒッポネン氏は取材の中で述べた。

ルシノビッチ氏もF-Secureも非常に言葉に気を使っていますね。

シマンテック、「Norton SystemWorks」のセキュリティ問題を修正 2006/01/12

Symantecは、ソニーBMGのrootkit問題も調査したSysinternalsの研究者Mark Russinovichと、rootkit検出ソフトを販売するフィンランドのセキュリティ企業F-Secureによる支援の下で問題を解決したとして、両者に謝意を述べている。

---

そもそもRootkit（ルートキット）って何なの？　判ったような判らないような、すっきりしない、とおっしゃる方は深呼吸をして、覚悟を決めてこちらをお読みください。

ルートキットの正体を暴く（前編）  2006年01月18日

ソニーBMGの音楽CDがユーザーのマシンに「Rootkit（ルートキット）」を組み込むことを発見したMark Russinovich（ルシノビッチ）氏による「Rootkit」の解説記事です。

ルートキットとは，ソフトウエアを隠ぺいする技術を大まかに総称する言葉だ

ルートキット開発者は，「ROOTKIT」（http://www.rootkit.com/）というWebサイトを中心に活動している。そこには，ルートキットを叩くために活動していると主張する人々が集まっているが，場合によってはしっくりこない，そして物議をかもすルートキットが発表される。このWebサイトで発表されたルートキットには，「Vanquish」「FU」「Afx Rootkit 2005」「NT Rootkit」「Hacker Defender」などがある。

ルートキットへ非常に簡単にアクセスできることを考慮すると，ここ数年間に野に放たれたウイルスの隠ぺいにルートキットが使用されていないというのは驚きである。もっと驚くのは，スパイウエアやアドウエアの開発者が，彼らの作成したソフトウエアをシステムの深部に侵入させるために，ルートキットを使用していないことである。マイクロソフトのカスタマ・サポート・サービスやウイルス対策ソフト会社が，ユーザーのシステムにインストールされたルートキットを発見するのは，比較的珍しいようだ。

　しかしながら昨今，ルートキットがマルウエアの次なる戦場となることに研究者が気づき，ルートキットはマスメディアの大きな注目を集めている。メディアは，エンドユーザーに対してルートキットの危険性を警告しているが，同時にマルウエア作成者に対してルートキットの威力を喧伝することにもなった。いずれ，彼らは，年々強化されるウイルス/スパイウエア対策ソリューションに対抗するために，ルートキットを使用し始めるだろう。ディスクの再フォーマットとOSの再インストールでしか削除できないウイルス，スパイウエア，アドウエアなどがお目見えする日も近いはずだ。

ルートキット開発者は改良を重ねた。特定のプログラムを攻撃するのではなく，プログラムが情報入手に使用するAPI（アプリケーション・プログラミング・インターフェース）を攻撃するようになったのだ。例えば，実行中のプロセスのリストを取得するAPIの処理に割り込んで，アプリケーションに渡されるプロセス・リストからマルウエアのものを削除する仕組みになった。これによってルートキットは自身を，タスク・マネージャや，該当するAPIを直接的または間接的に使うその他のプロセス表示ユーティリティから隠す。現在のルートキットはこの手法により，ファイル，ディレクトリ，レジストリ・キーとレジストリ値，Windowsサービスとデバイス・ドライバ，TCP/IPポート，ユーザー・アカウント，そしてプロセスといったものを隠ぺいしている。当然ながらルートキットは通常，システム上のマルウエア・プロセスを見えなくするときに使われ，マルウエアがシステムを完全にコントロールできるようにする。

もっともハニーポットも同じような技術で作られていますが。

ルートキットの正体を暴く（後編） 　006年01月19日

ルートキット技術を採用するマルウエアは，初めからシステムへの侵入を防ぐほうがいい。既にシステムに導入されているものを検出して取り除くのは容易ではないからだ。具体的には，ウイルス/スパイウエア対策ソリューションやファイアウオールを導入したり，管理者グループではないアカウントを使ったりといったセキュリティ対策を実施することになる。 （ｐ2）

私もそれしかないと思います。入り込むことを防ぐのは簡単です。ウイルスやスパイウエア対策となんら変わるところはありません。SONY BMG　は例外中の例外です。

この後編には検出方法も紹介されていますが、これが出来るのは企業のセキュリティ部門か、セキュリティコンサルタント会社だけと思った方が良いです。私ですか？　一応企業のセキュリティ担当ですが、私には出来ません。その危険性があればさっさとリカバリして証拠のバックアップデータをセキュリティコンサルタント会社に渡します。解析するのに何百万円かはかかるでしょうね。見積もりを取ったことはないですが。
この記事はシステムの専門家向けよりさらに狭く、セキュリティ技術の専門家向けと考えてください。

８．マイクロソフトも今後rootkit対策を強化 

SONY BMG の功績はこれまで目立たなかったRootkitに光を当てたことでしょう。Windows Vista、rootkit対策を強化  2006年01月25日

カーネルモードrootkitの脅威の高まりを受けて、MicrosoftはWindows Vista x64版に認定されていないドライバがロードされないよう、大幅なポリシー変更を実施する計画だ。

今回の変更は実質的に以下のことを意味する。

• 管理者でないユーザーは署名のないデバイスドライバをインストールできない。
• 保護されたコンテンツをストリーミングする機器ではドライバに署名が必要。これにはPUMA（Protected User Mode Audio）、PAP（Protected Audio Path）を利用するオーディオドライバ、PVP-OPM（Protected Video Path-Output Protection Management）コマンドを処理するビデオデバイスドライバが含まれる。
• 署名のないカーネルモードソフトはx64ベースシステム上でロードされず、実行されない。ブート時のドライバ確認のパフォーマンスを最適化するには、ブートドライババイナリに、署名付きの.catファイルに加えてPICが組み込まれていなければならない。

　Microsoftはまた、今回のポリシー変更はシステムクラッシュの診断を向上させる役に立つとも述べている。

マイクロソフトはＯＳレベルでの対応計画を発表しました。Sunはどうでしょう？　Linax はどうなの？
本当を言うと、アカウントと権限の問題なのです。セキュリティホールが無いかぎりは。ここでも大きな問題は、システムよりもそれを利用・運用しているユーザ側のアカウントと権限のあつかいがいい加減なことではないでしょうか。
マイクロソフト？　ＯＳからしてそこがいい加減だったんじゃありませんか？　歴史的に。
まあ、ＰＣの世界にシステム管理者のコントロールなんて概念が出てきたのはほんのこの数年のことで、それも一部の大企業だけの話しです。歴史的に管理者＝ユーザ、つまりホストコンピュータやセンターサーバの世界の管理者なんかＰＣには居ません。歴史的にと言うのはそういう意味も含みます。

９．PCをコントロールする権利は誰にあるのか

更に余震は続きます。問題の所在はこのタイトルが良く表していると私は思います。

ユーザーのPCをコントロールする権利は誰にあるのか 2005.11.25

一部のコンピュータユーザーが知的財産権を尊重しない態度を示しているとすれば、ソニーBMGのコンテンツ保護ツールのほうにも、同じように、PCユーザーが自分のマシンに対して抱く所有権の感覚を全く無視した態度が見られたとする批判的な意見もある。

MicrosoftのMossは、「5～10年ほど前の予想さえ大幅に上回る数の人々がPCを使っている。われわれはいま移行期にあり、バランスを見つけ出すという課題を抱えている」と付け加えた。

一方でこういう動きも。Symantecは自社製品に関して問題を指摘される以前から複数の業界団体に接触し、rootkitの定義を作成するよう持ちかけていたようです。

「Rootkit」が「Rootkit」でなくなる日は来るか
―業界団体が定義の作成へ (1/3)　　2006年01月24日

ご自分でじっくり読まれることをお勧めしますが、時間の無い方は以下のサマリだけでも。

ウイルス対策企業Symantecの支援を受けて、rootkitを明確に定義するベンダー中立的な取り組みが進行中だ。だがセキュリティ専門家は、こうした取り組みは、rootkit技術から危険な部分を抽出して利用するのを合法化してしまう恐れがあるとして、憂慮している。

Sony BMGがデジタル権利管理（DRM）の一環としてrootkit技術を使用していたことに社会の非難が集中し、リスクに対する認知度も高まったが、rootkitという言葉の使われ方は、Sonyの場合とSymantecの場合では「まったく異なる　（Symantec）

「セキュリティについて語るときは、悪質（かつ危険）なrootkitとクローキング技術の違いを明らかにする必要があると考えている。マルウェアは、クローキング技術を悪用することはできない」（カスペルスキー氏）

一方、ルシノビッチ氏も自説を曲げない。同氏は自身のブログ「Systinternals」やeWEEKによるインタビューにおいて、どのような定義に基づくものであれ、rootkit技術の使用を正当化することは「絶対にできない」と断言している。

Sunbelt Softwareでマルウェア研究の指揮を執るエリック・ハウズ氏も、ルシノビッチ氏の考えを強く支持している。「悪意がないからといって、深刻なセキュリティ問題ではないとは言えない。こうした事実を念頭に置いておく必要がある」（ハウズ氏）

　「定義は有益な場合もあるが、今回の動きには、rootkit技術の危険な部分を合法的に利用できるようにしたいという、真の意図が見え隠れしている。そうした偏狭な目的の下でrootkitを定義し、定義そのものに悪意が込められる事態になるのではないかと、大きな不安を感じている。このままでは、企業が情報開示の抜け穴に隠れるようになってしまう」（ハウズ氏）

　ハウズ氏はさらに、「厳格な定義が作られたが最後、消費者は手も足も出なくなる。われわれは、アドウェアやスパイウェアでこうした経験をすでにしている。最低限の情報開示を規定して法律上は問題が起こらないようにし、つけはエンドユーザーに回すというわけだ。だが、告知や情報開示が実際どのように行われているのか、われわれはよく知っている」と述べた。

この問題に関連してLarry Seltzer氏のこの記事も読まれることをお勧めします。

SONY BMGが犯した大きな罪とは？　2005年11月22日

　私は最近、あるセキュリティの討論グループで、セキュリティの権威であるソロモン博士（その後McAfeeによって買収された有名なウイルス対策製品の作者）と一緒になった。同氏は、SONY BMGのrootkitはなぜウイルス対策製品が探知すべき存在なのかという疑問を投げ掛けた（もちろん、レトリックとして）。その主要な答え、そしてrootkitが脅威である理由は、rootkitがDRM機能を実行するからではなく、rootkitが自身の存在を隠しながら、こそこそと第三者にシステムをさらしているからだ。

これは私も心底そう思います。

セキュリティ業界のカリスマ的な有名人

今朝来た「ISS Newsメール」の中に読者が選ぶ　『セキュリティに関する「専門家」「有名人」』　と言うのがありました。　「セキュリティ業界にはカリスマ的な有名人がいないね～」と言うのがアンケートの動機だそうです。その結果は・・・

• 第1位　高木 浩光 氏
  　　　　 独立行政法人　産業技術総合研究所
• 第2位　三輪 信雄 氏
  　　　　 株式会社ラック　代表取締役社長
• 第3位　ビル・ゲイツ 氏
  　　　　 マイクロソフトコーポレーション
  　　　　 会長兼チーフソフトウェアアーキテクト

思わず笑ってしまいました。

”セキュリティ業界のカリスマ的な有名人　高木 浩光”

う～ん、言えるかもしれないなぁ、癖のあることこの上無しですからね。
でも最近議論の仕方が丸くなったような気がします。それでもあれだけ「辛らつ」なんですが。
「カリスマ」って語感は、なんとなく「教祖様」みたいなイメージですよね。まあ高木さんを教祖様と崇め奉る人は居ないと思いますが、私のように記事や投稿を見ては「辛辣ー！　うっひゃっひゃ」と喜んでいる、楽しんでいる人間は多いでしょうから、なんとなく「カリスマ的な有名人」でも納得してしまいますね。（笑）
いやもちろん勉強もさせてもらっています。m(_ _)m
おっと、「アンケート」は『セキュリティに関する「専門家」「有名人」』と言うことで行われたのですが。

ISS Newsメール読者が選ぶ　
2005年セキュリティ重大ニュース TOP10
『セキュリティに関する「専門家」「有名人」』と聞いて思い浮かぶ人物

Rootkit の話題って目立ちましたね・総集編

第一段階

私にとっての事の起こりはマイクロソフトの奥天氏がBLOGに書いたこの記事からです。

ＭＳ　日本のセキュリティチームの Blog　投稿日時 : 2005年11月2日
「Rootkit の話題って目立たないですネ 」　奥天氏

 Rootkit って、昔から話題になりながらもなんだかピンと来ない攻撃手法の代表的ものではないかと思っています。が、最近この攻撃方法が一般化しているようなので、取り上げたいです。
 ある情報では、企業内でウイルスやハッキングが行われたマシンのかなりの割合で、プロセスの隠蔽が行われているようです。最近のウイルスは、ウイルスコンテナとしての役割であって、感染しても Bot のようにその事実を隠そうとしますし、さらに巧妙にするためにこの Rootkit で積極的に隠蔽しようとしているわけですね。
 一説には、この Rootkit は侵入済みホストの何割かに入り込んでいるという話もありますので、どうもありえないパケットが出ているとか idol time が減っているがプロセスがいないとか、不自然な動きが見つかれば疑ってみるのも一つかと思います。またその場合には、出来る限りマシンの再構築をお勧めします。

ほんとかそりゃ！
と色めきたつのは、私の昔の記憶ではRootkitはカーネルに忍び込むからです。正確ではないかもしれませんが、そう思った方が良い。その疑いがあれば即刻リカバリです。手に負える代物ではありません。ただし、防衛方法はただのＢｏｔと同じです。
ものが重いので、最初の一撃でこれが飛んでくることは無いと思います。

---

と言うのはインターネット接続中の感染の話で、音楽ＣＤ、それも今をときめく大メーカーの正規品に紛れ込んでいたとなると、これはどんなに厳重なIEのセキュリティ設定をやっていたって、多分FairFoxを使っていたって防げるものではありません。普通はこんなの拾い食いでもしなければ入り込まないものなのですが。フキフキ "A^^;
その記事の背景にはこんな事件が起きていたようです。

SONY BMGのコピー防止CDがrootkitを組み込む（ITmedia）　2005/11/02

SONY BMGは2005年3月からこのコピー防止技術を採用しており、米国で販売されているオーディオCDの一部に採用されている。F-Secureでは問題となっているCDの一部を購入し確認したところ、rootkitと同種の技術が使われていたという。

F-Secureは慎重に「rootkitと同種の技術」と言う表現でSONY BMGを攻撃することは控えていました。私もその頃はウイルス対策掲示板にこんなことを書いていました。

こちらは「rootkitと同種の技術」ですからrootkitであると言われた訳ではありません。ただし、検出する側からすれば迷惑な話ですね。

そしてその次の日にSONY BMGは早々と

SONY BMG、コピー防止CDのrootkit問題に対処　2005/11/03

同コンポーネントは悪質なものではなく、セキュリティを脅かすものでもないとSONY BMGは強調。ただ、潜在的にセキュリティを脅かす可能性のあるプログラムについてユーザーの懸念を払拭するため、問題のコンポーネントをコンピュータから削除するアップデートをリリースしたと説明している。

ウイルス対策掲示板では三毛猫さんが11/4に

およ、もう削除ツール出ていたんですか。・・・・・
CDをコピーしてネットに流したりする不届き者が居るのは確かですが、不正利用していない大部分の人にとっては本当に迷惑な話です。
# 迷惑どころか「他にも何か仕込んでるんじゃないか」と疑う事になりそうですが。

この段階では私は一件落着かと思っていたんもですが、ところがどっこい。

第二段階

実は私が知らなかっただけで、口火を切ったマーク・ルシノビッチ氏のこの記事は10/31に彼のBLOGで公開されていたようです。11/09　に翻訳記事が出るまで私はその詳細を知りませんでしたが、冒頭のウイルス対策ベンダーはこのBLOGの記事を切欠に調査を開始したのでしょう。いや後で知ったことですが、各社とも変な兆候は察知していたらしいのですが、それがまさか音楽ＣＤに組み込まれたRootkitだとは夢にも思わなかったとか。そりゃそうでしょう。

ソニーが音楽CDに組み込んだ“Rootkit”とは何者か？ 
  Mark Russinovich 著／畑中 哲 訳

その中でもリンクされている記事ですが、Rootkitがやっかいな理由は・・・・

クラッキングを手助けする“Rootkit”ツールを検出する　
2005/03/12  デジタルアドバンテージ　小川 誉久

万一システムにRootkitが仕掛けられていたなら、すでにシステムは攻撃者の手に落ちていると考えるべきだ。Rootkitのインストール自身を未然に防止すべきなのだが、特に重要なサーバなどについては、内部にRootkitが仕掛けられていないかどうかを定期的に確認したほうがよい。ただし、一般的なウイルス対策ソフトウェアは、Rootkitの検出機能は持っていない。

「特に重要なサーバなどについては、内部にRootkitが仕掛けられていないかどうかを定期的に確認したほうがよい。」って、そりゃそんなに簡単には出来ないですよ。「特に重要なサーバ」世界中のヴラックハッカーが涎をたらすようなサーバには必要だけど。

Rootkitの検出は複雑で、オールマイティなツールはない。各検出ツールの特徴を吟味して、使い分けたり、組み合わせたりする必要がある。・・・
前述したユーザー・モードRootkitについては、この方法で検出できる可能性が高い。しかしカーネル・モードRootkitについては、ロー・レベルの検査自体が詐称されている可能性があるため、検出に失敗する場合もある。検査をすべてツールまかせにするのではなく、手作業による検査を大幅に簡略化してくれるツールと位置づけるべきだろう。

そういうことです。自分もハッカー（ただしホワイト）である必要がある。いや、今回の件についてはマーク・ルシノビッチ氏はたまたま自分のＰＣの中に変な兆候を見つけ、その正体を突き止めるまでは並じゃない苦労をしたようです。ただのハッカーには出来ないことでしょう。

あとで気が付いたのですが私にとってのこの件の初日にすでにこういう記事が出ていたようです。

ソニーの音楽CDに「トロイの木馬」――真の問題点は何か　 2005年11月2日

われわれは今回の件で、コンピューターの裏社会を調べあげ、よからぬ行為の証拠をつかむ必要はない。CD購入者のコンピューターの最も基本的な性能に危害を加えたことで、ソニーBMG社はフェアプレーのルールを破り、合法的なソフトウェアとコンピューターへの不法侵入を隔てる、明確な一線を踏み越えたのだ。同社の行為は民事訴訟の対象にもなりかねない。
・・・・ソニーBMG社は、ファースト4インターネット社製ソフトウェアの導入状況について、詳細をただちにすべて明らかにし、今後は同様の手法を使わないと、公式に確約すべきだ。誠実なソフトウェアなら、その挙動や存在をユーザーから隠す必要はない。誠実な企業も、同様に隠すものなどないはずだ。

第三段階

そのマーク・ルシノビッチ氏は11/03の「SONY BMG、コピー防止CDのrootkit問題に対処　」のあのツールに重大な欠陥があることを指摘します。

SONY BMGのコピー防止CD問題に新たな指摘  2005/11/07

Winternals Softwareのチーフソフトウェアアーキテクト、マーク・ルシノビッチ氏は11月4日、XCPに関するさらなる調査結果を公表し、このパッチの問題を論じるとともに、この製品に関する新たなプライバシーの懸念を指摘した。
・・・・SONY BMGは英国のFirst 4 Internetという会社からXCPのライセンスを受け、今年に入ってから不正コピー防止のために同ソフトを一部のCDに組み込んで出荷していた。SONY BMG幹部は、XCPが組み込まれたCDはわずか20作程度だとしている。

SONY BMG、DRMソフトのrootkit問題で新パッチ、批判は収まらず

 ＩＴｍｅｄｉａ　　2005年11月09日

フェルテン氏やルシノビッチ氏らは、SONY BMGが、ステルス（隠ぺい）機能についてエンドユーザー使用許諾契約書で適切な情報開示を行わず、顧客のコンピュータでどのCDが再生されているかに関する情報を同社が自社のサーバに送信していることを示すソフトの動作についても、しらを切っていたとしている。
　SONY BMGの幹部は同社のこれまでの措置を弁護している。
　「ほとんどの人はrootkitとは何かを知らないのだから、気に掛けたりしないのではないか」とSONY BMGのグローバルデジタルビジネス担当社長トーマス・ヘス氏は4日、National Public Radio（NPR）の取材に対して語った。

そういう問題か？　ことごとく神経を逆撫でしてくれるような。近年稀に見る対応のまずさですね。

私も勤務先でリスク管理も仕事にしていますが、リスクの中にはレピュテーション（風評）リスクと言う概念もあって、単なる無責任な「風評」だけじゃなくて、何か起こった場合にも社会的な非難を最小に抑える対応、そのためにこういうような（神経を逆撫でするような）無責任発言が身内から飛び出さないようにコントロールすることも重要な要素になっています。
もちろん会社として口を閉じるのではなしに、ユーザ、及び社会が納得し、対応に安心するような情報提供・対策が一番重要なんですが、SONY BMGの対応にはそれが感じられません。

他の記事にもありますが。ここにも書いてありますね。ＣＡ社のXCP.Sony.Rootkit　の説明。

結果的にアンインストーラの再配布が困難となるため、アンインストーラを入手するには Sony BMG が定めた手順に従う必要があります。その場合、個人を特定可能な情報を入力することになり、Sony BMG および非公開の第三者によって利用されることになります。

SONY BMGはあくまで自分の都合を優先しているように受け取られます。

第四段階

「SONY BMG「rootkit的」DRM悪用のトロイの木馬が出現」 ITmedia 2005/11/11

ああ、言わんこっちゃない。って、私が言ったんじゃないけど。

添付プログラムが実行されると、このトロイの木馬は$sys$drv.exeというファイルをコピーする。$sys$drv.exeと名付けられたファイルはSONY BMGがXCPコピー防止技術で導入した仕組みにより、コンピュータの中で「不可視」状態になる。
Sonphosの上級技術コンサルタントであるグレアム・クルーリー氏は「音楽の海賊行為を止めさせたいという意志自体に悪意はないが、SONY BMGのDRMコピー防止はハッカーに対して脆弱性を公開し、ウイルス作者はこの脆弱性を悪用し始めている」と述べている。このセキュリティホールを使ったさらなるマルウェアが登場しても不思議ではない、と同氏は続けている。

はやくもトロイの木馬出現----ソニーBMG製CDのコピー防止ツールを悪用 2005/11/11

10日午前にこのソフトウェアを悪用する初めてのトロイの木馬が発見された。このトロイの木馬は、攻撃者がリモートから感染したコンピュータを完全に乗っ取れるようにすることをねらっているが、ただし最初に登場したバージョンはうまく動作しなかった。しかし、時間が経つにつれて、この欠陥を修正したと見られるバージョンがほかにもいくつか確認された。
　大半のウイルス対策ベンダーからは、ソニーの同ソフトウェアを特定あるいは削除するバージョンがすでにリリースされている。また、ソニーのウェブサイトにはパッチが用意されており、これを使えば同コピー対策ツールの偽装を解除することができる。しかし、完全に削除する方法については、ソニーの顧客サービスに連絡して手順を聞く必要がある。

ウイルス対策ソフトに助けを求める方が良いですよね。「Sony BMG および非公開の第三者によって利用されることになります。」ですから。

他にも沢山あるんですが、ウイルス対策ソフトベンダーの対応
BKDR_BREPLIBOT.C （トレンドマイクロ）
Sony rootkit backdoor program (Analyst's Diary, 2005.11.10)

これは氷山の一角か--EFF、ソニーのrootkit組み込みCD19枚を発表　2005/11/11

ソニーがCDにrootkitを組み込んだことが明らかになって以来、この問題がセキュリティベンダーやユーザーの間で物議をかもしている。しかし、ソニーは同ソフトウェアが組み込まれたCDを明らかにしていない。　EFFでは、以下のCDにrootkitが含まれていることを突き止めたという。・・・・・
EFFの弁護士Jason Schultzは声明のなかで「エンターテインメント企業は、ファンが企業の知的財産権を尊重してくれていないと考えがちだ。その一方で、（エンターテインメント企業であるソニーが出した）この手のツールは、ユーザーの財産権を軽視するものである」と述べ、「ソニーの行為は矛盾しているうえ、ユーザーをセキュリティ上の脅威にさらしている」と付け加えた。

SONY BMGの「rootkit」手法悪用のトロイの木馬に「修正版」登場

Microsoftも「駆除」決定――SONY BMGの「rootkit」対策に乗り出す　2005.11.13

トロイの木馬を誘発するなど問題を起こしているSONY BMGのCD防止技術に対し、ついにMicrosoftがシグネチャの提供に乗り出した。

「穴」を広げるSONY BMGのXCPアンインストーラ  2005/11/16

「この欠陥が引き起こす結果は重大だ」とフェルトン氏とホルダーマン氏は11月15日のブログの中で述べている。「この問題により、ユーザーがアクセスしたすべてのWebページが、ユーザーのコンピュータに何でも好きなコードをダウンロードしてインストールし、実行できるようになってしまう。あらゆるWebページがユーザーのコンピュータを乗っ取り、好きなようにすることができる。これはセキュリティホールがもたらす危険と同じくらい深刻だ」

ソニーBMG、「rootkit」CDのリコール発表--別のセキュリティ問題も発覚 2005/11/16

　このツールは、ウェブサイトからの命令をユーザーのハードディスクに受け入れさせるプログラムをダウンロードするが、ソフトウェアをアンインストールする指示を受けた後でもPCのハードディスク上にアクティブな状態を続ける。そして、悪質なものも含め、どのウェブサイトからのどのような命令を受けても動作してしまうと、プリンストン大学の研究者らは説明している。
Feltonと、一緒に研究するJ. Alex Haldermanは「どのウェブページからでもコンピュータを乗っ取ることができてしまう。何でも好きなことができてしまう。これ以上深刻なセキュリティ上の欠陥はない」とブログに書き込んでいる。
　ソニーはその後、このウェブベースのアンインストール用ツールを、ダウンロードして使う別のプログラムと差し替えた。こちらは、ウェブサイトから命令を受け付けるのではなく、なかに命令が組み込まれている。Feltonらによると、新しいプログラムは安全なようだという。
　Feltonらのブログには、最初のツールを使ってしまった人向けに、ソニーのコンポーネントを削除するための方法が記されている。

ソニーBMGのコピー防止ソフト用アンインストール・ツールに問題，配布を一時中止　11/16 ITPro

米US-CERTは米国時間11月15日，Sony BMG Music Entertainment（以下，ソニーBMG）が配布したアンインストール・ツールに問題があることを指摘した。同ツールを悪用すれば，攻撃者のWebサイトへアクセスしたユーザーに任意のプログラムを実行させることなどが可能となる。ソニーBMGでは，同日付でツールの配布を一時中止したことを発表している。

ソニーBMGの「rootkit」CD修正用プログラム、さっそく攻撃の的に 2005.11.17

ソニーBMGの「rootkit」CDで生じる問題を修正するためのソフトウェアに脆弱性があることが明らかになっていたが、米国時間16日にこれを悪用して攻撃を仕掛けるウェブサイトが見つかったと、あるセキュリティ対策企業が発表した

SONY BMGは企業として最悪の選択、対応をしたことがこれで明らかになりました。

発端は、もしかするとSONY BMGはそんな仕掛けだとは知らなかったのかもしれません。そもそも外注した部分ですから。
もちろん最初からそんなものは組み込まない方が良いのですが、それよりも問題を指摘された後の対応をとことん間違えたと私は思います。

第五段階
きれいな絵、しかし醜いデータ、きれいな絵　!

凄い皮肉ですね。でも確かに綺麗な絵。（苦笑）
引用の中のUSA, Europe, Japan をクリックしてみてください。ここまで広がってしまったものが本当に撲滅出来るのでしょうか？

XCP「rootkit」組み込みマシン、日本は最多の21万台？――専門家が指摘　2005.11.16

DNS専門家のダン・カミンスキー氏がブログで明らかにした情報によると、XCP「rootkit」が組み込まれたマシンは、少なくとも56万8200台だという。同氏は国別データも公表しており、それによれば、日本はトップの21万7000台、米国が13万台となっている。

ここまで長い引用はちょっと問題かもしれませんが、ダン・カミンスキー氏は怒りはしないでしょう。

彼らはここにいます…

水曜日、2005年11月16日の02:27にダン・カミンスキーによって提出されます。

いくらかのかなり大規模で、主流の適用範囲、さえ(ニューヨーク・タイムズ, ワシントンポスト, USAトゥデー、 Wired News) この全体のPlanetでは、ソニーRootkit Metricsは突出しています。 冷えてください! 現在、私が実際のログに目を通す機会を得ることさえできれば、よいでしょうに…

惑星ソニーへようこそ

火曜日、2005年11月15日の09:28にダン・カミンスキーによって提出されます。

ソニー。
ソニーには、rootkitがあります。
rootkitは家に電話をします。
家に電話をするのはDNS質問を必要とします。
DNS質問はキャッシュされます。
すべてのネームサーバのリストがむこうでありましたらキャッシュは 外部的に試験できます(すばらしい紙、ルイス!)。

それは全く起こります。監査からのそのようなリストがあるので、私は http://deluvian.doxpara.comから走っています。
したがって、私は何を見つけましたか?
非常に、そして、私よりはるかに予想されています。

今、 少なくとも56万8200のネームサーバがrootkitに関連するDNS質問を目撃したように見えます。 これは何人のホストに相当していますか? ソニー(そして、First4Internet)だけが知っています…当然ながら、それらは特にコミュニケーションではありません。 しかし、そのスケールで、これを何100万ホスト、虫スケールIncidentにするのに多くを要しません。 これを発見する過程はキャッシュが詮索される芸術におけるいくつかの重要な進歩につながりました。 ここに、私が対処した要素のいくつかがあります:

• まさしく、あなた、*要求*、再帰が無能にされて、それが実際にそうする平均は起こりませんか? ネームサーバが唯一でないので最終的な合札から除かれるために持っていた完全な35万3200はそれらが望まれていましたが、彼らが結果について隣人に通知するだろうか否かに関係なくも、質問がそれらから放つリカーシブがそうするでしょう。
• 低いTTL名は、存在していて、詮索しながらキャッシュで捕らえるのはかなり難しいです(あなたが生きている証拠を見つけることができる前にそれらは期限が切れます)。 しかしながら、それらははるかに長い間続く名前によって接待されるかもしれません--updates.xcp-aurora.comには、1時間の寿命がありますが、xcp-aurora.comのNSはresolver1にリンクします。最初に、4internet.co.ukは15万秒続くでしょう。
• 或るものは偽り--とりこになっている入り口を接待して、私はあなたを見ています。 単に、100で分割可能なTTLのものをフィルターにかけるのにおいて、それらの大部分を排除する方法があります; その後に、あなたはころがっている驚くほどわずかなNSのIPと共に置き去りにされます。

また、私には、IPがあります-> マイク・シフマンの libipgeoの提供でGeographicデータと IP2Locationのすばらしい人々。(IP2Locationは非常に印象的なデータベースを持っています)。 したがって、私が直ちにそうしたとき、geolocateはデータでしたか? 生の統計を省いた後に、集まってください…

私は何を言ってもよいですか? きれいな絵。 しかし、醜いデータ、きれいな絵!

• USA
• Europe
• Japan

これを作るのに使用されるツール? 惑星ソニーへようこそ! (一般に、 Partiviewと特にいつもすさまじい PlanetLabの仕事に基づく)です。

Blogifiedしました。

月曜日、2005年10月17日の12:34にダン・カミンスキーによって提出されます。

中、東京の中央--最終的にサイトだけをアップデートしました。 皆は、現在RSS読者に関して尋ねるのを止めることができます。 青のHatは前後にゆれました。 それは私が私での何らかの睡眠なしで召集することができるすべての雄弁に関するものです:)

「ダメパッチ」を研究者が指摘？

「MSの「ダメパッチ」を研究者が指摘」と言う記事が　ITmedia に。

Argeniss Information Securityの創設者シーザー・セルード氏はMS05-049「Windows シェルの脆弱性により、リモートでコードが実行される」の中の「シェルの脆弱性」 の中の(CAN-2005-2122) および (CAN-2005-2118) を報告した人で、マイクロソフトの謝辞の中にも出てきています。
事の発端はCSRSSに影響する脆弱性に対処する今年４月のMS05-018 で、セルード氏は脆弱性実証コードを作成するためにこのバグをリバースエンジニアリングした時に、パッチ適用後もこの脆弱性が別の形で悪用可能であることに気付いたとのこと。

　「この問題は、Microsoftが脆弱な機能にパッチを当てなかったというものだ。同社はこの機能の呼び出し前に確認コードを加えたが、この機能には異なる複数の経路からアクセス可能であり、確認コードが追加されたのはその経路の1つにすぎないということを見落とした」「（MS05-049の）フィックスは適切だが、Microsoftは最初のパッチでちゃんとやるべきだった」（同氏）

この件に関してセキュリティコンサルタント、ダナ・エップ氏は、

今回のミスは、セキュリティにおいて人的な要因が今なお「最も弱い部分」であるという証拠だと語る。　「Microsoftに新しいセキュアなプログラミングパラダイムがあっても、最近のパッチの問題は、プロセスが完ぺきでないことを示している。人間はミスをするものだ。Microsoftの社員でもだ」

と述べているそうですが、私もそう思います。どうもこの記事のタイトルはセンセーショナルですが、冷静に考えてみると別にMSがダメダメ過ぎる訳ではないだろうと。

シーザー・セルード氏はきちんとMSに報告し、多分協力もし、MS05-049のリリースと、そしてそれを当てるべき人間はおそらく作業を終えただろうと言うタイミングまで待っていたのでしょう。ちゃんとルールに則っています。
彼にとっては自分と自分の会社をアピールする絶好のチャンスですからそれをきちんと生かしただけのことです。

MSにとっても辛い指摘のひとつではあるでしょうね。他にも沢山貯まっているでしょうが。まあ、それを自分たちのプロセスの改善に役立ててくれればと思います。こちらもこれぐらいではもう驚きはしません。

---

この２～３年の間にも、もっとハラハラしたものが沢山ありました。
MSにとっての一番の悪夢はMS03-007でしょう。確かMS03-011ぐらいでやっと吸収出来たような。014だったかな？

2003年8月のBlaster騒動の直後2003/08/21のMS03-032も、10/4に修正版のMS03-040が出ました。

Blaster騒動と言えば忘れもしないMS03-026ですが、別物とは言え同じRPC-DCOM関連で、似たような攻撃が組める、MS03-039が２ヶ月後の9/11にリリースされています。このときは「もうDCOMなんて止めてしまえ！」と私も思ったものです。と言うか、そうしました。クライアント側だけですが。
　「サーバは2003にしちゃえ！」と言い出したのもこの頃だったような。そう言えばMS03-043も緊張しましたね。おまけにこのパッチは問題もあってあって私のメモには「ただし、この状態で強制的に再起動を行えば、修正プログラムの適用は完了するため、軽微と判断」なんて書いてあります。

あの頃が一番のピークだったんじゃないでしょうか。それに比べれば今は静かなもんです。あの頃を思えば「よくぞここまで沈静化させてくれた」と、これでもね。MS05-049なんか私には小物です。

「こんなの小物」と言っていられるのは、私のようなユーザ側でもそれなりに生き延びるための生活の知恵を身につけてきたからです。

例えば、

MS05-030　: 　重要但し当社では格下げ
MS05-029　: 　但し当社にはExchange Server 5.5は無し
MS05-028　: 　但し当社にはＸＰＳＰ1は無し
MS05-027　: 　 緊急（当社では重要に格下げ）

勤務先ではXP SP2と2003SP1以前のWindowsは数えるほどしかありませんし、それも半ば特殊用途です。

---

最近のMSのセキュリティホールでちょっと問題だったのはIEにクラッシュを引き起こす未パッチのバグ 　IEにクラッシュを・Javaprxy.dllの続き の件でしょうか？　MS05-037で対応されましたが、その中身は？　killbit を立てただけのようです。
が、そもそもはインターネットゾーンで　ActiveX コントロールのスクリプトの実行　を全面的に「無効」にしていれば Javaprxy.dll だろうが何だろうが呼び出されて穴を突かれることは無い。これも「生活の知恵」です。

これの続報は、書くタイミングを逸してしまったのですが、MS05-038　の中のひとつ「COM オブジェクトのインスタンス化のメモリ破損の脆弱性 - CAN-2005-1990　」です。MS05-037の実証コードとパッチが公表されたがそのときに「まだ同じようなものはある」と言われていたものをまとめて30～40件やはりkillbitを立てたと。

この件はHotFix Report BBS のスレッド: 「IEの非ActiveX COMオブジェクト処理に深刻な脆弱性」で議論をしていました。

これも根本的な解決では無いと言えると思いますが、でもJavaprxy.dll　だけのMS05-037の段階ですら明らかになった問題（攻撃の予想）に対しては防衛策になっていますから無意味ではありません。でも「ダメパッチ」度合いで見ると、killbitを立てただけですからダメダメ度合いは最高！　と言って言えなくもありません。

でもそれでも良いじゃないか、ちゃんと出て来ているんだから、MSにブーたれるのは他の人にまかせて、ともかくこちらは「生活の知恵」を深めた方がいいや、と。

---

私にとって最大の問題は私が推奨する「生活の知恵」にブーたれる人が私の勤務先にも結構いることです。いや、ブーたれて守ってくれない訳ではないので余計悩む訳なんですよ。とうとうブーたれた役員さんにはFiarfoxを入れてしまいました。これ使って良いからIEのインターネットゾーンは「高」のままにしてくださいと。

そのあと広告の無くなったOperaの最新版を自分で使ってみたら・・・・、こっちの方が良かったかな？（笑）

実証コード、パッチリリース直後に公開

Windowsの脆弱性実証コード、パッチリリース直後に公開
http://www.itmedia.co.jp/enterprise/articles/0510/14/news014.html
> セキュリティ企業のImmunityは、Windowsの脆弱性を実証するサンプルコードを、パッチリリース直後に公開した。このコードは悪用される恐れがあるという。（IDG）
MS05-051の謝辞にはImmunityの名はありません。
数時間でパッチのリバースエンジニアリングから問題コードを見つけてコンセプト実証コードを作ったと言うことでしょうか？

すぐに出てくるだろうと言う話はあちこちにありましたが。
まさか数時間後とは。(^_^;)

もろに雑感・最近のウイルス動向(2)

昨日、シマンテックの野々下氏も似たようなことを言ったようですね。

2005年09月27日
「“バージョンアップ”を繰り返す悪質なプログラムが増加傾向」---シマンテック
http://itpro.nikkeibp.co.jp/article/NEWS/20050927/221767/<