2か月ほど鳴りを潜めていたStormワームが再び活発な活動を始めた。今年1月、欧州の暴風雨に関するニュースに見せかけたウイルスメールが出回って以来、すっかりStormの名が定着してしまったが、元をたどれば去年の今頃、クリスマスカードや年賀状を装い「Postcard.exe」を実行させようとしていたウイルスメールへとたどり着く。あれからちょうど1年、姿も形もすっかり変わったStormが、今年は強力なボット軍団を引き連れて年末年始の襲撃を開始した。
クリスマスイブの夜、セキュリティベンダー各社はいっせいにStormワームの再来襲を告げた。「Jingle Bells, Jingle Bells」「The Twelve Girls Of Christmas」「Time for a little Christmas Cheer」など、さまざまな件名で送られて来るメールのリンクをクリックすると、サンタクロースならぬミセスクロースが肌もあらわにお出迎え。「無料ダウンロード」に惹かれて「stripshow.exe」を実行してしまうと、たちどころにボットネットの仲間入りという、そんな危険な罠が仕掛けられていた。
ボットは、外部からの命令で操られるロボットのこと。Stormファミリーの一員になったパソコンは、今度は悪の手先となって、スパムメールの送信や悪質なプログラムのホスティングを手伝う側に回る。誘導メールを送りつけたのも、ミセスクロースが出迎えたホストも、こうしてボット化されていったユーザーのパソコンたちなのだ。
クリスマスの終了とともに、ボットネットもいっせいに正月モードへと切り替わった。「Happy New Year!」「New Year Postcard」など、ボットたちはまたさまざまな件名で正月向けのスパムを送り、悪質なプログラムが待ち受けているサイトへと誘導する。ミセスクロースが去った後の簡素なサイトには「15秒待ってもダウンロードが始まらなかったら、ここをクリックしてネ」と書かれ、今度は「happy2008.exe」や「happy-2008.exe」を実行させようとする。
Stormワームの変わり身の早さは、それだけではない。今回の誘導メールには、以前のようなIPアドレスのリンクではなくドメイン名のリンクが記載されており、対応するホストを次々とダイナミックに切り替えていく手法が採られている。悪質なプログラムをホスティングしているボットは、世界中に大量に用意されているらしく、アクセスする度に異なるホストへと案内される。特定のホストを示すIPアドレスのリンクと違って、このやり方ならデッドリンクが生じにくく、誘導メールが最大限の効力を発揮する。
仕掛けられている悪質なプログラムも中身が次々と入れ替わっており、ウイルス対策ソフトの対応は遅れがち。不審なファイルを解析するサービス「VirusTotal」の解析では、32種類のウイルス対策ソフト中、おおむね10本前後が検出しているものの安定しておらず、いつ網の目を潜り抜けてくるのかまったく予測できない状況が続いている。ウイルス対策ソフトを過信することなく、「不審なリンクはクリックしない」という基本を守っていただきたい。
（2007/12/26 ネットセキュリティニュース）
■クリスマス版（英文）
・Anticipated Storm-Bot Attack Begins（SANS Institute）
http://isc.sans.org/diary.html?storyid=3778
・Merry Christmas, Nuwar Style（McAfee Avert Labs Blog）
http://www.avertlabs.com/research/blog/index.php/2007/12/24/merry-christmas-nuwar-style/
・Here comes Storm again（TrendLabs Malware Blog）
http://blog.trendmicro.com/here-comes-storm-again/
・It's a Stormy Christmas Eve..（F-Secure）
http://www.f-secure.com/weblog/archives/00001349.html
・Is that really you, Santa（Symantec Security Response Weblog）
http://www.symantec.com/enterprise/security_response/weblog/2007/12/is_thatreally_you_santa.html
■正月版（英文）
・Happy New Years .... from the Storm Worm（SANS Institute）
http://isc.sans.org/diary.html?storyid=3784
・Happy2008.exe（F-Secure）
http://www.f-secure.com/weblog/archives/00001350.html
■VirusTotal
http://www.virustotal.com/jp/