ネットセキュリティニュース

◆【ゼロデイ攻撃】Internet Explorerの未修整の脆弱性狙うトロイの木馬（2010/11/05）

　マイクロソフト（MS）は4日、Internet Explorer 6/7/8 に影響する新たな脆弱性が確認されたことを明らかにし、セキュリティ アドバイザリ (2458511)を公開した。

　脆弱性はIEのCSS（スタイルシート）のタグ処理に起因するもので、この脆弱性攻撃により、リモートでコードが実行されるおそれがある。同社は限定的ではあるが脆弱性悪用の攻撃を確認している。

　セキュリティベンダーのシマンテックは、この脆弱性を突いた攻撃の実例をあげ、どのような攻撃が行われているかをブログで解説している。挙げられた実例では、まずホテルの予約申込に対する返信を装ったメールが舞い込み、予約のためにメールに記載したリンクをクリックするように促す。リンク先ページには、アクセスしてきたユーザーのブラウザのバージョンやOSを探るスクリプトが埋め込まれており、IE6 または 7 を使っている場合は攻撃ページに転送され、コンピューターにバックドアを仕掛けるトロイの木馬がインストールされてしまう。

　MSはこの脆弱性に対する回避策として、IE の DEP（Data Execution Prevention：データ実行防止）を有効にすることをすすめている。IE8では DEPはデフォルトで有効になっているが、IE7以前のバージョンでは無効になっている。DEPを有効にする方法は「サポート技術情報875352」を参照いただきたい（URL下記）。IE7を使用している場合には、DEPの有効化を自動設定する「Fix It」が「サポート技術情報2458511」で提供されている。

　英語版のサポート技術情報では、DEP有効化とは別の回避策「Web サイトの CSS スタイルをユーザー定義のCSS で上書きする」を自動化するFixItも提供されている。自前のCSSを強制的に使わせて問題発生を防ぐ対策だ。

　MSは、引き続きこの脆弱性に関する監視を続け、状況が変わりしだいアドバイザリを更新する。必要があれば月例のセキュリティ更新、または定例外パッチで解決策を提供する可能性もあるとしている。

（2010/11/05 ネットセキュリティニュース）

■マイクロソフトのリリース
・セキュリティ アドバイザリ (2458511) Internet Explorer の脆弱性により、リモートでコードが実行される
http://www.microsoft.com/japan/technet/security/advisory/2458511.mspx
・サポート技術情報875352：データ実行防止 (DEP) 機能の詳細
http://support.microsoft.com/kb/875352
・サポート技術情報2458511：Fix It日本語ページ
http://support.microsoft.com/kb/2458511
・サポート技術情報2458511：Fix It英語ページ
http://support.microsoft.com/kb/2458511/en 

■標的型攻撃に悪用された IE の新しいゼロデイ脆弱性（シマンテック）
http://www.symantec.com/connect/ja/blogs/ie
■Microsoft Internet Explorer における無効なフラグ参照に起因する脆弱性（JVNVU#899748）
http://jvn.jp/cert/JVNVU899748/index.html

◆マイクロソフト、11月の修正パッチは「緊急」1件、「重要」2件（2010/11/05）

　マイクロソフトは5日、今月10日に公開が予定されているセキュリティ更新プログラムの概要を発表した。

　リリース予定のセキュリティ更新プログラムは計3件で、Officeに影響する「緊急」1件、Office および リモートアクセスソフト「Forefront Unified Access Gateway」に影響する「重要」2件。

　最大深刻度が「緊急」にランクされる脆弱性は、Office XP/2003/2007/2010、Office for Mac 2011に含まれるが、Office 2007/2010以外は「重要」レベルとしている。PowerPoint 2002/2003、PowerPoint Viewerには最大深刻度「重要」にランクされる脆弱性が含まれる。これらの脆弱性を悪用されると、リモートでコードが実行されるおそれがある。
　リモートアクセスソフト「Forefront Unified Access Gateway 2010」に含まれる「重要」レベルの脆弱性は、「特権の昇格」のおそれがある。

　このほか、「Windows Update」「Microsoft Update」などでセキュリティ以外の優先度の高い更新プログラムと「悪意のあるソフトウェアの削除ツール」の更新バージョンのリリースを予定している。

（2010/11/05　ネットセキュリティニュース）

■マイクロソフトのリリース
・セキュリティ情報の事前通知 - 2010年 11月
http://www.microsoft.com/japan/technet/security/bulletin/ms10-nov.mspx
・セキュリティ情報の事前通知
http://www.microsoft.com/japan/technet/security/bulletin/advance.mspx

◆「サンプル百貨店」登録会員46万名の個人情報流出、派遣社員が業者に売却（2010/11/02）

　企業提供の試供品などを会員ユーザーに媒介して意見や感想を募るサイト「サンプル百貨店」の登録会員46万3360名の個人情報が流出したことがわかった。同サイトを運営するルーク19（東京都新宿区）が1日付で明らかにした。

　同社の発表によると、今年9月、「不動産会社から勧誘電話を受けた」「同サイト専用ハンドルネーム宛ての電話を受け取った」等の連絡が会員からあり、会員情報の流出が発覚。緊急対策室を設置して調査を開始した。

　調査の結果、リクルートスタッフィング（本社：東京都中央区）からの派遣社員が会員情報を持ち出し流出させていたことが10月16日に判明した。派遣社員は20歳代の男性で、配属2週間後に情報アクセス権限を濫用して46万3360名の会員情報を持ち出し、独自の名簿データを作成。名簿業者11社に売却していた。売却は8月6日までに行われており、今年8月7日以降に登録された会員情報は流出していない。

　流出した個人情報は、マーケティングサービス用に収集されたものだけに詳細にわたっている。氏名、メールアドレス、性別、年齢、電話番号、血液型、住所、興味分野、生年月日、職業、業種、未既婚、子供の有無、家族構成、自宅区分、世帯年収、携帯電話キャリア、購読雑誌、保有ゲーム機、クレジットカードの有無（有の場合は種類）、買い物における自分の性格、スポーツ傾向など。クレジットカード番号、有効期限、カード名義、暗証番号は流出していない。

　同社は名簿業者11社すべてから当該情報の元データの返却、当該情報を記載もしくは記録した媒体を破棄する旨の同意書を取り付けた。このため、会員への迷惑電話や迷惑メールは終息に向かっているという。それでもなお迷惑電話を受けたときの対応法、迷惑メールを受信したときの転送先等を示し、フリーダイヤルの問い合わせ窓口を公開するなど被害対策を行っている。

　同社は所轄警察署に盗難届、被害届を提出しており、経済産業省へも報告した。また、組織面、運用面、技術面、人的面で行う緊急対策を明らかにし、再発防止に努めるとしている。

（2010/11/02 ネットセキュリティニュース）

■会員情報の流出について[PDF]（ルーク19）
http://www.3ple.jp/img/press/pdf/20101101.pdf
■弊社派遣スタッフによる派遣就業先での個人情報流出に関するお詫び（リクルートスタッフィング）
http://www.r-staffing.co.jp/sol/contents/corporate/pr/2010/110101.html

◆著作権法違反：アドビ海賊版をオークション販売/Shareでアニメや漫画を公開（2010/11/02）

　アドビ製品の海賊版をオークション販売していた会社員が逮捕された。生活費を稼ぐためだったという。ファイル共有ソフトのShare（シェア）を使ってアニメを無断公開し逮捕された無職男性は「キャプチャ映像をみんなにあげたかった」が動機という。同じくShareによる無断公開で逮捕された地方公務員宅からは、17台ものパソコンやハードディスクが押収された。彼も「みんなにあげたかった」が動機だろうか。職を賭す覚悟で？

■アドビ製品の海賊版をオークション販売、青森県の会社員を逮捕

　岡山県警と津山署は10月27日、無断複製したソフトをネットオークションを悪用して販売していたとして、青森県青森市の会社員の男性（32歳）を、著作権法違反容疑で逮捕し、翌28日に岡山地検津山支部に送検した。岡山県警やコンピュータソフトウェア著作権協会（ACCS）によると、今年7月20日頃、アドビシステムズ社が著作権をもつ「Adobe Creative Suite3 Master Collection 日本語版」を複製したDVD-R1枚を、鳥取市の男性に8000円で販売した疑い。岡山県警の捜査員が今年4月、サイバーパトロールで出品を確認し、ACCSを通じて著作権者に連絡していた。警察の調べに対し、生活費を稼ぐためだったと供述しているという。
　ACCSは、マイクロソフト社の海賊版販売の事実も確認しており、同社は告訴する予定。容疑者の家宅捜査では、パソコンなど20品目72点が押収されている。
・著作権を有するパソコンソフトの複製DVDをインターネットオークションで販売した会社員を逮捕（津山署、岡山県警）
http://www.pref.okayama.jp/kenkei/hodo/hodo.html
・オークションを通じて海賊版を販売、会社員男性を逮捕（ACCS）
http://www2.accsjp.or.jp/criminal/2010/1022.php

■放送直後のアニメからCMをカットしShareで無断公開、愛知県の男性を逮捕

　千葉県警と千葉東署、佐倉署は10月27日、Shareを使ってテレビ放送されたアニメ作品を無断公開したとして、愛知県愛西市の無職の男性（37歳）を、著作権法違反（公衆送信権侵害）容疑で逮捕し、28日に千葉地検に送検した。千葉県警やACCSによると、今年6月28日頃から翌月18日ごろまでの間、東映アニメーション社が著作権をもつアニメ「TVシリーズ『ハートキャッチプリキュア』」第20～23話の各4話をネットに無断公開し、不特定多数がダウンロードできるようにした疑い。これら作品の放送直後からCMをカットするなどの編集を行い、公開していた。
　男性は昨年春頃から無断公開を始めており、「地上デジタルチューナーを購入したことがきっかけになった」「キャプチャした映像をみんなにあげたかった」と供述しているという。先月、千葉県警の捜査員がサイバーパトロールで発見し、ACCSを通じて著作権者に連絡していた。家宅捜索ではパソコン、サーバー、地上デジタルチューナー各1台、テレビ放送番組をコピーしたDVD-R 約200枚などが押収された。
・著作権法違反事件で男を逮捕（千葉東署、佐倉署、千葉県警）
http://www.police.pref.chiba.jp/trouble/newest/index.php?sl_year=2010&sl_mon=10&sl_mday=27
・Shareに放送直後のアニメをアップロード、無職男性を逮捕（ACCS）
http://www2.accsjp.or.jp/criminal/2010/1021.php

■集英社の漫画やサンライズのアニメをShareで無断公開、阿南市職員を逮捕

　徳島県警と阿南署は10月21日、Shareを使って漫画やアニメを無断公開したとして、徳島県阿南市の地方公務員の男性（38歳）を著作権法違反（公衆送信権侵害）容疑で逮捕し、22日に徳島地検に送検した。ACCSによると、今年4月14日に集英社が出版する漫画「『ふぐマン』第1巻」を、同4月21日にサンライズ社が著作権をもつアニメ映画「エスカフローネ」をネットに無断公開し、不特定多数がダウンロードできるようにした疑い。
　今年4月、徳島県警の捜査員がサイバーパトロールで発見し、ACCSを通じて著作権者に連絡していた。家宅捜索ではパソコン17台、ハードディスク17台等が押収された。阿南市長は「捜査状況を見守りながら事実関係を確認した上で、厳正に対処」するとし、市民の信頼回復に努めていきたいというお詫びのコメントを出した。
・職員の著作権法違反容疑による逮捕について（阿南市）
http://www.city.anan.tokushima.jp/actni/actni-ni-e101022.html
・Shareを通じて著作権侵害、地方公務員男性を逮捕（ACCS）
http://www2.accsjp.or.jp/criminal/2010/1020.php

（2010/11/02 ネットセキュリティニュース）

◆フィギュア通販ショップに不正アクセス、カード情報2万7320件が流出（2010/11/02）

　模型のオンラインショップ「HOBBY SEARCH」を運営するホビーサーチ（東京都台東区）は10月28日、同社サイトが韓国からの不正アクセスを受け、顧客のカード情報が流出した可能性があることを明らかにした。

　同社の発表によると、10月6日に同社システム担当が韓国からの不正アクセスの痕跡を発見。同日夜に第三者のセキュリティ専門会社に調査を依頼し、翌7日よりシステムを停止して緊急メンテナンスを実施した。
　同日、クレジットカード情報流出の可能性が高いことがわかり、流出項目等の調査を開始。20日に調査結果を得て、これを元に該当顧客へ順次メール連絡を開始した。
　不正アクセス発覚から公表まで時間がかかったのは、この調査と、各カード会社と連携して問合わせに応じる体制を整えるためだったという。

●流出の可能性があるカード情報

　同社は今年7月7日以降にカード番号の下4桁のみ保持する新システムに移行している。また、同社では商品出荷後1年以上経過した時点でカード情報の自動削除が行われている。このため、今年7月7日以降に利用されたカードの場合、流出番号は下4桁のみとなる。また、2010年7月6日以前の利用でも商品出荷後1年以上を経過している場合は削除されているので流出対象とならない。それぞれの発表流出数は次のとおり。

＜流出の可能性があるカード番号＞
・2010年7月6日以前（最大2万3526件）：未出荷分と出荷後1年以内のカード番号全桁
・2010年7月7日以降（最大3794件）：下4桁のカード番号

　流出情報は上記のカード番号の他に、有効期限と顧客名義が含まれる。それ以外のカード情報や個人情報（住所、メールアドレス）は流出していない。

---
　専門会社の調査により、韓国のある大学のネットワークから何者かが同社システムの脆弱性を突いて不正アクセスを行ったことが判明している。同社は大学側に犯人の特定とすべての流出情報の回収を強く要求しているという。

　同社はセキュリティ対策として、保持していたカード情報を全て削除し、カード決済システムを中止した。また、全プログラムの入れ替え、全マシンのパスワード変更、ファイヤーウォール強化などを実施。情報流出の該当顧客には、クレジットカード各社と情報を共有し、迷惑がかからないよう協調して対応していくとしている。

（2010/11/02 ネットセキュリティニュース）

■ホビーサーチ社のリリース
・不正アクセスによる顧客情報流出の可能性について
http://www.1999.co.jp/info_card.html
・不正アクセスについてのＱ＆Ａ
http://www.1999.co.jp/info_card_qa.html

◆オランダ当局がBredolabボットネットを閉鎖～関連不明も8080系攻撃は停止中（2010/11/01）

　オランダの国家犯罪対策局のハイテク犯罪チームは25日、2009年7月以来、少なくとも全世界で3千万台のコンピューターを感染させたとみられる、悪名高い「Bredolab」ボットネットを閉鎖したと発表した。26日には、オランダ当局の要請を受けたアルメニアの警察が、ボットネットの首謀者の一人とみられる男をエレバン国際空港で逮捕した。
　それとの関連は不明だが、日本国内の「8080系」サイト改ざん攻撃は停止状態にある。

■毎日36億通のウイルスメールを配信したボットネット

　同チームの発表によると、夏の終わり頃、ボットネットのシステムがオランダ最大のホスティングプロバイダー「LeaseWeb」配下のサーバーにあることを発見。同社の協力を得て、悪用されていた143台のサーバーをインターネットから切断した。同チームの調査では、ボットネットは月300万台のコンピューターを感染させることができ、2009年の終わりには、毎日36億通のウイルスメールが配信されたとみられる。
　同局では、同ボットネットの感染者に対し、次回のログイン時に感染を知らせる通知を送り、駆除方法をアドバイスするとしている。通知の具体例については、Microsoft Malware Protection Centerのブログに掲載されている。

■「8080攻撃」ただ今停止中

　Bredolabは、ウイルスメール、掲示板やブログなどへの不正リンクの投稿、検索結果からの誘導など、さまざまな感染経路をもつ。昨年12月から日本国内で続いている8080系のサイト改ざんで、ばら撒かれているウイルスでもある。
　今回閉鎖されたボットネットが、8080系の改ざんに関連するものかどうかは不明だが、今回のLeaseWebのサーバーも多数使われてきた。かつては、大量のドメイン名を投入し頻繁にリンクの差し替えを行っていたが、最近はかなりペースダウンしており、月に1回、ほとんど同じリンク先を埋め込み直す程度だった。
　現在、改ざんサイトに埋め込まれている最新のリンク先は、9月半ば過ぎの改ざん/再改ざんの際に差し替えられたものだ。その後は変更されておらず、先月は再改ざんが行われていない。誘導先については、先月半ば頃からIPアドレスが引けたり引けなかったりという不安定な状態が続いており、先週は、IPアドレスが引けてもサーバーにはアクセスできない、今日は全く引けないといった具合だ。これが、今回閉鎖されたボットネットに関連したものなのか、リンク先差し替えの予兆なのかは、今のところ分からない。

（2010/11/01 ネットセキュリティニュース）

【オランダ法務省起訴局の公式発表（英文版）】
・Dutch National Crime Squad announces takedown of dangerous botnet
http://www.om.nl/actueel/nieuws-_en/@154338/dutch_national_crime/
・Wanted botnet mastermind held in Armenia
http://www.om.nl/actueel/nieuws-_en/@154346/wanted_botnet/

【その他】
・Bredolab Takedown, Another Win for Collaboration[英文]（Microsoft Malware Protection Center）
http://blogs.technet.com/b/mmpc/archive/2010/10/26/bredolab-takedown-another-win-for-collaboration.aspx
・Bredolabボットネットがシャットダウン（エフセキュアブログ）
http://blog.f-secure.jp/archives/50457352.html
・36億スパム配信の凶悪ボットネットが解体（G DATA）
http://gdata.co.jp/press/archives/2010/10/36.htm