Confickerワームが再び活動を開始し、セキュリティ専門家を再び困惑させています。最も巧妙に設計されたマルウェアの一つが最近アップデートされ、ついに他のワームと同様の動作をし始めています。現状は以下のとおりです。
新たな行進命令
4月8日水曜日、セキュリティ企業は、Confickerの最新版であるConficker Cのいくつかの亜種が、暗号化されたピアツーピア（P2P）ファイル共有機能を通じてアップデートを受けていることを確認しました。セキュリティ企業のトレンドマイクロによると、新しいConfickerの命令は韓国のサーバーから送信され、新しいファイルは2009年4月7日午前7時41分21秒に作成されたとのことです。この新しいアップデートによりConfickerの防御力が強化され、新しいConficker機能は2009年5月3日に停止されます。
5月3日まで、更新されたConfickerは、Microsoft MS08-67セキュリティパッチを適用していない未感染のWindowsマシンをインターネット上で検索します。この検索と感染機能は、以前のConfickerの亜種では無効化されていました。これは、将来のボットネットの規模を抑制するためだと考えられます。しかし、Confickerの作者たちはこの戦略を見直し、再び攻撃を拡大しようとしているようです。Confickerの亜種の中には、パッチ未適用のコンピュータに感染するようにプログラムされているものもあり、Confickerがコンピュータに侵入すると、ワームは脆弱性を修正し、同じ脆弱性を悪用する他の種類のマルウェアの侵入を阻止します。
Conficker は、新しいマシンに感染するか、マシンを更新すると、MySpace.com、MSN.com、Ebay.com、CNN.com、AOL.com に接続して、そのコンピュータがインターネットに接続されているかどうかを確認しようとします。
コンフィッカーの最初の詐欺が明らかに
新型コンフィッカーは、従来のマルウェアの兆候も見せ始めています。スケアウェアと呼ばれる最も古い手口の一つを用いて、新型コンフィッカーCはSpyware Protect 2009（写真）という偽のウイルス対策プログラムをダウンロードします。F-Secureによると、これはSpyware Guard 2008です。この偽プログラムは、コンピュータが感染していると警告するポップアップメッセージを表示しますが、わずか49.95ドルでマルウェアを駆除できると謳っています。その後、偽のウェブサイトに誘導され、そこでクレジットカード情報をすべて入力させられます。そして、犯罪者は銀行まで笑いながら歩いていきます――つまり、あなたの銀行です。ワシントン・ポスト紙によると、このスケアウェア詐欺はウクライナのサーバーから発信されているようです。
Conficker: 変装したスパムボット?
Confickerは、巧妙なプログラミング言語であり、Waledacワームと何らかの形で関連しているようです。Waledac自体はStormワームの亜種と考えられています。Confickerの実際の動作については意見の一致を見ていませんが、セキュリティ企業F-Secureによると、ConfickerはWaledacと関連があるとされるドメインにアクセスし、Waledacワームをダウンロードしているとのことです。一方、トレンドマイクロは、ConfickerがWaledacドメインからコードをダウンロードしていると述べていますが、ConfickerとWaledacの関連性を確認するにはさらなる調査が必要だとしています。しかし、トレンドマイクロは、ConfickerがWaledacワームの既知の機能である大規模なスパムボットネットとして動作する準備を整えている可能性を示唆しています。
Conficker: 見た目以上のもの
どうやら、新たなConfickerには、研究者がまだ解明していない新たな仕掛けが隠されているようです。セキュリティチームはConfickerの最新の仕掛けや変更点をすべて解明しようと努めていますが、Confickerが活動を続けており、ワームの作者がConfickerに感染したマシンを利用して金儲けを始めていることは確かです。しかし、この活動がどこまで拡大するかは現時点では不明です。
ここからどこへ行くのでしょうか?
セキュリティ研究者が最新バージョンのConfickerを取り巻く謎を解明し始めている中、まずシステムの感染検査を行い、次に最新のMicrosoftセキュリティパッチが適用されていること、そしてウイルス対策プログラムが最新であることを確認することで、このワームから身を守ることができます。Confickerワーキンググループは、Confickerに感染しているかどうかを確認するための簡単なテストを公開しています。
