特に重要なセキュリティ欠陥・ウイルス情報

Windows 版および Mac OS X 版の QuickTime 7.6 が公開されています。複数の重大なセキュリティ欠陥が修正されています。

• QuickTime 7.6 のセキュリティコンテンツについて (Apple)

QuickTime を利用している場合は更新してください。

• ダウンロード (Apple)
• ソフトウェアアップデート (Mac OS X) (Apple)

Windows 用の Apple Software Update では更新できないことがあるようです。ダウンロードページから QuickTime 7.6 を個別にダウンロードし適用して下さい。また、Apple Software Update を実行すると、iTunes や Safari などのソフトウェアを利用していない場合でもそれらの項目がインストール項目に含まれる場合があるので注意して下さい。

関連キーワード: QuickTime

2009.01.27 現在、一部の研究室において Windows PC へのコンピュータウイルスの感染が確認されています。何らかの経路から感染後、USB メモリなどを通じて感染が広がっているようです。現在対応作業中です。

龍大標準のアンチウイルスソフト、マカフィー VirusScan Enterprise (VSE) は、最新のウイルス定義ファイル DAT5507 においても対応できていません (Extra.dat により一部には対応済。後述)。ここで解説されているウイルスと同種のものと考えられます。手元で採取した検体と各種アンチウイルスソフトの検出状況は以下のとおりです。

• a81lkgv.com
• autorun.inf
• ierdfgh.exe
• pytdfse0.dll
• pytdfse1.dll

実際のウイルスのファイル名は上記とは異なる場合があります。

対応手順

現時点では、次の手順で対応を行っています。

1. ウイルスファイルの存在は隠蔽されていますが、コマンドプロンプト (cmd.exe) から dir /a C:\ や dir /a C:\WINDOWS\system32 などと実行することで確認できます。
2. ネットワークに接続したままだと、ウイルスがネットワークを経由してアップデートしてしまいます。ネットワークケーブルを抜くなどして、物理的に切断します。
3. システムの復元を無効に設定します。
4. ウイルスは、Windows 起動時に自動的に起動されるよう、レジストリ HKCU\Software\Microsoft\Windows\CurrentVersion\Run に自身を登録しています。これを削除します。
   自動起動用のレジストリを削除するには、sysinternals の autoruns コマンドを使用すると容易です。autoruns を起動し、[Logon] タブの HKCU\Software\Microsoft\Windows\CurrentVersion\Run の項に注目します。あやしい項目についてチェックを外します。autoruns コマンドは、RINS で配布している「セキュリティ CD」の tools\sysinternals ディレクトリにも含まれています。
5. ウイルスをできるだけ削除しておきます。隠蔽されているファイルは、コマンドプロンプトから attrib -S -H -R pytdfse1.dll のように実行すれば隠蔽を解除できます。その後 del コマンドで削除します。削除できない場合は、ren コマンドを ren pytdfse1.dll pytdfse1.dll.hoge のように使ってウイルスファイルの名前を変更します。この段階ではうまく削除できないファイルも少なくないので、あまり神経質にならなくてもよいです。
   典型的なウイルスファイル名を後述しています。
6. 再起動します。
7. 削除できていなかったファイルを削除します。削除できるまで、手順 4〜7 を繰り返します。
8. USB などのメディアからの再感染を避けるため、autorun.inf の無効化設定を行います。autorunstop.bat をダウンロードして実行します。ダウンロード後のファイルの拡張子が .bat になっていることを確認してください。この設定を行うと、メディア挿入時の自動実行機能が働かなくなりますので注意してください。
   なお、よりセキュリティを高めるための設定: 自動再生を無効にする で述べている方法ではうまくいかない場合があるそうで、近日改定を予定しています。
9. Explorer 関連のレジストリ設定をウイルスが改変しています。修正するために、fix-showall.reg をダブルクリックして適用します。適用後、よりセキュリティを高めるための設定: エクスプローラ を実施します。
10. マカフィー VSE を利用していた場合、ウイルス感染によって改変され挙動がおかしくなっている場合が多いです。 ウイルス定義ファイルの更新が正常になされていないなどの挙動が見られる場合には、再インストールすることを推奨します。マカフィー VirusScan 関連ドキュメント を参照。
11. USB などのメディアに付着したウイルスを削除します。上記と同様、コマンドプロンプトから attrib コマンドと del コマンドを使って実施してください。

終ったら、システムの復元とネットワークを元に戻します。

「セキュリティ CD」は RINS の部屋 (瀬田 1 号館 443 室) で配布しています。

典型的なウイルスファイル名を以下に示します。これで全てではないので注意してください。

VSE で この Extra.dat を使うと、上記ウイルスのうち a81lkgv.com と ierdfgh.exe を検出できるようになります。Extra.dat の利用方法については以下を参照してください。

• VirusScan Enterprise 8.5 のExtra.dat ファイルの手動適用方法 (マカフィー)。VSE 8.7i の場合も同様に実施してください。
• VirusScan Enterprise 7.x / 8.0 のExtra.dat ファイルの手動適用方法 (マカフィー)

上記リンクに記載された方法がよくわからない場合は、次のようにしてください。

1. Extra.dat をコピーします。
   • C:\Program Files\Common Files\McAfee\Engine に (VSE 8.7i / 8.5i)
   • C:\Program Files\Common Files\Network Associates\Engine に (VSE 8.0i)
2. 再起動します。

全般的な対応・予防

Windows で「アンチウイルスソフトをインストールしていない」は論外です。何らかのアンチウイルスソフトをインストールしてください。VSE の場合は、8.5i または 8.7i の利用を推奨します。ただし、今回の事例でもわかるように、アンチウイルスソフトをインストールしておけば安心、というわけではありません。

autorunstop.bat を実行し、autorun.inf を無効化することを推奨します。

RINS で配布している「セキュリティ CD」にも含まれている StartupMonitor のようなツールをインストールしておき、起動項目の追加・変更を確認するのは効果的です。

Windows やアプリケーションのセキュリティ上の欠陥を突いて侵入するウイルスも存在します。セキュリティ修正プログラムを適用したり、最新版に更新したりして、セキュリティ上の欠陥を無くしてください。具体的には以下を実行してください。

• Windows Update などを実行し、Windows を最新のセキュリティ状態に保ってください。
• アプリケーションを最新版に更新してください。特に狙われやすいのは：
  • Microsoft Office (最新: Office 2007)。Office Update または Microsfot Update を使ってセキュリティ修正プログラムを適用できます。
  • Adobe Reader / Adobe Acrobat (最新: バージョン 9)
  • Flash Player (最新: バージョン 10)
  • QuickTime (最新: バージョン 7.6)

関連キーワード: VirusScan

2009.01.28 追記

最新のウイルス定義ファイル DAT5508 において、上記検体のうち a81lkgv.com と ierdfgh.exe には対応されました。また、この Extra.dat を使うと pytdfse0.dllと pytdfse1.dll にも対応されます。

• DAT5508 へ更新されていることを確認してください。更新されていない場合は、タスクトレイのシールドアイコンを右クリックして「今すぐアップデート」を選択してください。
• この Extra.dat を適用してください。適用方法については上記を参照してください。

ウイルスに感染した Windows PC を調査したところ、以下の特徴がありました。

• ウイルス定義ファイルのバージョンが古い。また、アップデートを実行しても、アップデートに成功したような表示がされるものの、ウイルス定義ファイルのバージョンが古いまま。(ウイルスによって、定義ファイル更新機構を破壊されている)
• Windows のセキュリティ修正ファイルが全く適用されておらず、セキュリティ欠陥を突くような攻撃に対して全く脆弱。

アンチウイルスソフトにおいて、ウイルス定義ファイルが正常に更新されていることを確認してください。また、毎月第 2 火曜日 (米国時間) には Windows Update などを実行し、Windows を最新のセキュリティ状態に保ってください。

2009.01.29 追記

最新のウイルス定義ファイル DAT5509 において、上記の全ての検体に対応されました。Extra.dat はもう必要ありません。

2009.02.04 追記

一連の作業の中で収集した検体の中に、VSE では検出できないものがいくつかありましたが、最新のウイルス定義ファイル DAT5515 において対応されました。

典型的なウイルスファイル名を追記しました。

autorunstop.bat はローカルに配布するよう、リンク先を変更しました。(Luca さん多謝)

Apple から QuickTime, iTunes, iPod Touch, Bonjour for Windows の新版が公開されています。いずれについても、複数のセキュリティ欠陥の修正を含んでいます。

• About the security content of QuickTime 7.5.5 (Apple)
• About the security content of iTunes 8.0 (Apple)
• About the security content of iPod touch v2.1 (Apple)
• About the security content of Bonjour for Windows 1.0.5 (Apple)

上記を利用している場合は更新してください。

• ダウンロード (Apple)
• ソフトウェアアップデート (Mac OS X) (Apple)

なお、Apple Software Update を実行すると、iTunes や Safari などのソフトウェアを利用していない場合でもそれらの項目がインストール項目に含まれる場合があるので注意して下さい。

関連キーワード: QuickTime, iTunes, iPod, Bonjour

2008.09.16 追記

iTunes 8.0 + Windows XP / Vista の環境で iPhone / iPod を接続すると、Windows がブルー画面となる場合があるようです。この問題が発生している場合は、次のようにしてください。

1. 一旦 iPhone / iPod を外し、
2. 次に iTunes と Apple Mobile Device Support をアンインストールし、
3. 再起動してから最新の iTunes 8.0 を再ダウンロード・再インストールする。

詳細情報: iTunes 8: If Windows Vista displays a blue screen error message when connecting iPhone or iPod (Apple)

QuickTime 7.5 が公開されています。5 種類の欠陥が修正されています。

• About the security content of QuickTime 7.5 (Apple)

QuickTime を利用している場合は更新してください。

• ダウンロード (Apple)
• ソフトウェアアップデート (Mac OS X) (Apple)

2008.06.10 13:20 現在、Windows 用の Apple Software Update では更新できませんでした。ダウンロードページから QuickTime 7.5 を個別にダウンロードした上で適用して下さい。また、Apple Software Update を実行すると、iTunes や Safari などのソフトウェアを利用していない場合でもそれらの項目がインストール項目に含まれる場合があるので注意して下さい。

QuickTime 7.4.5 が公開されています。11 種類もの欠陥が修正されています。

• About the security content of QuickTime 7.4.5 (Apple)

QuickTime を利用している場合は更新してください。

• ダウンロード (Apple)
• ソフトウェアアップデート (Mac OS X) (Apple)

Windows 用の Apple Software Update でも問題なく更新できる事を確認しました。ただし、Apple Software Update を実行すると、iTunes や Safari などのソフトウェアを利用していない場合でもそれらの項目がインストール項目に含まれるため注意して下さい。