[harden-mac:0636] Re: First Mac OS X Trojan Horse

[vm_converter <vm_converter@xxxxxxx>]

石川％ショボーン、です。

とりあえず、
○風に語りて part II: Mac OS X 初の Trojan Horse
http://www.tamachan.co.uk/italktothewind/archives/000381.html
を読むのは前提として。
# いや、知らない人もいらっしゃるかもしれないし。

> 古暮でございます。
>
> On Apr 9, 2004, at 13:01, taiyo@xxxxxxxxxxx wrote:
>> Alertではアプリケーションが他のファイルを偽装する
>> Mac OS Xの脆弱性、と冒頭で述べています。
>> MP3を再生する仕組みに何らかのセキュリティホールが
>> あって、ID3タグ内の実行コードを動かしてしまう可能
>> 性は0とは言えませんが、今回のAlertの対象ではない
>> のではないでしょうか？
>
> ええっーと，どの辺に問題意識があるのか判らないのですが，
> application が他の file の様に偽装出来るのであればそ
> れは勿論問題だと思います。
>
> 唯今回の場合“完全な MP3 file であるにも拘らず exploit
> を仕込む事が出来る”というのが，考えられる最悪のシナリオ
> じゃないでしょうか？　もしそうであるなら，その可能性を考
> えて announce なりを行った方が良いと思うんですが，如何
> でしょうか？

まぁ、「偽装されたアプリケーション」から最悪のシナリオを紡ぎ出すことも
できるとは思うんですね。当たり前ですが。

ただ、情報を追いかけ直してみて、まぁ良い言葉ではないですが
今回の件の「目新しさ」で言うと、やはり「ID3タグ」なんだろうと。

「偽装」の話とは別に「ID3タグに仕込めばMP3として完全に再現できる」
ってコンセプトは残ったぞ、と。
手法が今回の件で広範に知られることとなり、且つ、コンセプトを
実現したものも手に入るので、これを流用した本格的なmalicious
wareが登場してもおかしくはないでしょうし。

# なんて正直がっくり来てて、でも「ID3タグに埋め込むコンセプト」には
# 警戒し続けないとマズイぞ＞オレ、と自分に注意喚起する為に
# とりとめも無く書いてみましたが...


P.S.
がっくり来てるのは、「benign」を読み落としてたからなんですが。
まぁ、個人的には「Mac OS X初のトロイの木馬」は先送りとゆーことで。

元のIntegoのAlertには、
	While the first versions of this Trojan horse that
	Intego has isolated are benign, this technique opens
	the door to more serious risks.
とあり、
	Integoが確保したこのトロイの木馬の最初のバージョンは
	良性のものだが、この手法は更なるリスクを招くだろう
とかテキトーに訳してみましたが。

# なーんか、話がズレてるなぁと思ってたんですが、古暮さんは
# 「benign」と理解して話をしていて、「でもID3タグは問題だよね」
# と言っていて、というコトだったんですね...。

-- 
石川 泰久／vm_converter


--[PR]------------------------------------------------------------------
┏━┯━┯━┯━┯━┓　最新情報もりだくさん！　┏━┯━┯━┯━┯━┓
┃★│星│占│い│★┣━┯━┯━┯━┯━┯━┯━┫■│壁│　│紙│■┃
┗━┷━┷━┷━┷━┫⇒│ニ│ュ│ー│ス│速│報┣━┷━┷━┷━┷━┛
　　　　　　　　　　┗━┷━┷━┷━┷━┷━┷━┛
　mypopで毎日お届け => http://click.freeml.com/ad.php?id=167197
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp