仮想マシン上で拡散すると言われている不正プログラム「Crisis/MORCUT」に関する報告を受けました。狙うバックドア型不正プログラムであると言及しています。今回、トレンドラボが入手した「MORCUT」の検体は、Windows上で実行され、興味深いことに、仮想ディスクをマウントします。その動作を行うにあたっては、VMwareの設定ファイルを確認してホストシステム上にインストールされている仮想マシンの場所を確認します。現時点で、今回確認された「MORCUT」の侵入経路はまだ特定されていませんが、不正なJavaアプレット(「JAVA_AGENT.NTW」として検出)のダウンロードが発端となり感染拡大につながっていると推測されます。“win”(「WORM_MORCUT.A」として検出されるワーム)というファイルです。OS上で実行されるもので、実行されると以下のコンポーネントファイルを作成します。仮想ディスクを介して拡散する能力を備えていることを確認しています。このワームは、デバイスドライバのコンポーネントである「TROJ_MORCUT.A」を利用して、仮想ディスクをマウントします。このような機能を有していることから急速に拡大しているはずである一方、トレンドラボでは、2012年8月24日時点、「WORM_MORCUT.A」および「TROJ_MORCUT.A」の広範囲における感染を確認していません。2型のハイパーバイザに影響を与える可能性があることが判明しています。コーポレートエディション」といった対策によって、お客様は「MORCUT」から安全に保護されます。トレンドラボでは、「WORM_MORCUT.A」および「TROJ_MORCUT.A」について、引続き解析しております。随時、本ブログ上で更新情報をお知らせ致します。コーポレートエディション」をご利用のお客様は、パターンファイルを最新のものへ更新することをお薦めします。9.287.00より、「WORM_MORCUT.A」をダウンロードする不正なJavaアプレットを「JAVA_MORCUT.A」として検出対応することになりました。9.345.00より、「RTKT_MORCUT.A」に改称しました。