ページ内ジャンプ:
スラッシュドット・ジャパン 全文検索

アレゲなニュースと雑談サイト

Confickerに感染しているかどうかを一瞬で判定

otkによる 2009年04月04日 2時00分の掲載
撲滅のためのあの手この手部門より。
セキュリティ

あるAnonymous Coward 曰く、

4月1日に活性化するとうわさされていたConfickerワーム（別名Downadup）だが、幸いなことに当日を迎えても特に大きな被害は出なかったようだ。

Conficker Working GroupのJoe Stewart氏は、世界的な規模で感染を広げているこのワームに感染しているかどうかを一目で判別できるチャートを作成した（本家/.ストーリー）。Confickerワームに感染すると、大手セキュリティ企業やマイクロソフトなど特定のドメインへのアクセスがブロックされるため、それらのサイトからコンテンツを読み込めるかどうかだけで感染をチェックできるとのこと。

このチャートはHoneynetでも取り上げられており、「ネットワーク・スキャンベースのチェックよりも信頼性がある」として、診断結果を分かりやすく表示するバージョンを作成、公開している。

チャートのページにアクセスして、6つのロゴ画像がすべて表示されれば感染していない。皆さんもぜひチェックを。

Confickerに感染しているかどうかを一瞬で判定 | ログイン/アカウントの作成 | 24 個のコメント | コメント検索
表示オプション しきい値:

  • 狙いはわからなくはないのですが、
    この画像を直接見られる人ならWindowsUpdateは当然直接見られるのではないですか？

    つまりプロキシ経由でしかLAN外へアクセスできない環境なら、
    感染していようがこの画像は見られます。むしろ過負荷防止のため
    WindowsUpdateへのアクセスをプロキシで禁止している環境も
    あるぐらいですから、ヘタに安心させてしまうまずいデモではないでしょうか。

    今回大規模感染が発生したのはパッチを当てたら怒られ処分される、まんじゅう
    こわいという風土がある環境でしょう。そういうところにこのような
    直接ビジュアルに訴えるデモを持ってきたら、「やかましいこのサイトで
    絵が出てるだろうが英文なんか知らんMS08-067なんか永久に当てん」
    となる可能性すらあります。

    一応下の注意書きには書いてありますけど、まずいデモと思います。

  • このチャートはHoneynet [honeynet.org]でも取り上げられており、「ネットワーク・スキャンベースのチェックよりも信頼性がある」として

    たしかにそう書いてありますね。根拠は何でしょう。

    正直なところ、画像を表示してみるという方法の信頼性がそれほど高いとは思えないのですが、これより劣るって、ネットワークスキャンというのはそんなに信頼できないのでしょうか。

    • 何も全てのウイルスの全ての条件に対して、確実とは言っていないでしょう。

      はい。知っています。

      Honeynet の記事では、 Conficker (Downadup) に感染しているかどうかのテストとしてネットワークスキャンよりこのテストの方が信頼性が高いとしています。その根拠を知りたいです。

      既に感染したかどうかわからない環境に、後からスキャンシステムを導入しても、
      あらかじめ予測していて交わされてしまうかも知れず

      それが事実なら、たしかにネットワークスキャンの信頼性は低いと言えそうですね。そうなんでしょうか。

      • そもそもネットワークスキャンとは何を指していますか？
        （元記事の言うネットワークスキャンの定義もわからないのですけどね）

        僕はトレンドマイクロのオンラインスキャン [trendflexsecurity.jp]やシマンテック・セキュリティチェック [symantec.com]の類のソフトを指すものと理解しています。

        確かに、「スキャンツールだよ」と書かれたメールを信じて騙された場合でも、ソフトをインストールしなければ危険は防げるので、偽物が現れた場合の被害の大きさという点では今回の方法の方が多少安全そうです。

        ただ、今回の方法がオンラインスキャンより利用者のスキルへの依存度が低いとは一概には思いません。どんな方法を使うにしても、その方法が使える範囲を理解しておく必要があって、そこが最も難しいと思うので。今回の方法なら、プロクシーを使う設定になっていたら検査ができませんが、「プロクシーを使う設定になっていると検査できません」と言われても多くの利用者は何を確認すれば良いのかわからないと思います。

        最初にパッチが出た時点であてましょうに尽きる話ではありますが。

        パッチを当てましょう、には同感です。

      • 1個のコメント が現在のしきい値以下です。
    • 1個のコメント が現在のしきい値以下です。

  • やっぱ、噂はエイプリルフールに向けたねただったのですね。

  • オリジナルのチャートページじゃ判定できなんじゃね？ (スコア:1, 興味深い)

    Anonymous Coward : 2009年04月04日 4時21分 (#1543578)

    　McAfeeによれば、confrickerを含むドメインへのアクセスはブロックされる [mcafee.com]らしいですから、オリジナルのページへ到達できない気が…。

    ＃とはいえ、アクセスのブロックを逆に利用するってのは良いアイデアだと思う。
    ＃他のウィルス／ワームの判定もできるVersionも欲しいかもｗ

  • ああ…次は偽ウイルス確認チャートだ… (スコア:1, 興味深い)

    Anonymous Coward : 2009年04月04日 5時38分 (#1543588)

    一瞬で判断できるチャートが大事なんではなくって、特徴的な挙動を説明して理解した上で確認することが大事ですね。

    Conficker (aka Downadup, Kido) is known to block access to over 100 anti-virus and security websites.

    なので分かりやすく表示するバージョンってのは本質的な理解 [uni-bonn.de]を隠蔽してしまう気がする。
    しかも、httpsでアクセス [uni-bonn.de]すると怒られるし。
    指名手配犯は警察署に入ることを嫌うのは普通に納得できる事で、やたら簡素化する必要あるのかなと。
    アレたまで赤く色づく程度に投票されているにも関わらず、鮮やかにスルーされているこの話題 [slashdot.jp]の一例 [simplexsimple.com]なんかにも言えることだけど。

    本当に信じられるの？っていう心理戦、効果があると聞けば偽対策ソフトを実行するという心理戦に持ち込まれないようにしなくちゃいけんと思うな。
    スラッシュドットのアレたまを利用して、ある程度信頼できる情報源のように思わせて誘導するとか…
    ＃なに？スラッシュドットは信用されてないから大丈夫？それもそうだ！

  • 本文を読んだ感想 (スコア:1)

    hashitom (34540) : 2009年04月04日 11時17分 (#1543643)
    これって新手のフィッシング？

  • 残念でした (スコア:1, 参考になる)

    Anonymous Coward : 2009年04月04日 2時39分 (#1543561)

    リンク先読めんばちゃんとその可能性についても考慮されてます。

  • ＞他PCに被害が及ばないよう即ネットワークから切り離せ

    車内のユーザにはまずそれを徹底させたいですね。
    とはいえ、感染しているかどうかわからなければどうしようもないですが。
    そして電源は切らないでおいてほしい。

    起動時にさらにファイルシステム破損などの被害が起きないとも限らないし。
    被害状況とか活動しているマルウェアの確認とかすぐやりたいし。
    えっと、他に電源切らないほうがいい理由ってなんだったっけ。

    --
    ペーストビン [windy.cx]
  • 5個のコメント が現在のしきい値以下です。

このページのすべての商標と著作権はそれぞれの所有者が有します。 コメントやユーザ日記に関しては投稿者が有します。
のこりのものは、© 2001-2010 OSDN です。