脅威情報ネットの安全セキュリティ用語HOME脅威情報Stuxnetワームの最新情報Stuxnetワームの最新情報TweetPocket脅威情報2010.9.29更新日:2018.3.15Windowsのショートカットファイルに存在する脆弱性を狙った「Stuxnet(スタクスネット)」というマルウェアが広がっています。このStuxnetには、制御システムや電力会社を狙う特徴があります。Blogでこのワームを取り上げてから、Stuxnetに大きな注目が集まっています。今回はそのStuxnetについて、最新情報をお伝えします。Stuxnetとは何ですか。Stuxnetは、シーメンス社のSCADAソフトウェアをターゲットにした、非常に複雑なワームです。Windowsの4つの脆弱性を悪用しています。Windowsの4つの脆弱性のうち2つ(CVE-2010-2568、CVE-2010-2729)については、既にパッチ適用済みです。このワームはルートキットと盗んだ2種類のデジタル証明書を用いて自身の存在を隠蔽します。最初に出現した時期はいつ頃で、最初に報告された場所はどこですか。この脅威が発見されたのは7月ですが、リリースされたのはその1年前と考えられています。Artemis!CC1DB5360109)。早い時期に実施されたテレメトリーでは、感染例が中東に集中していることが判明しています。マカフィー製品の対応状況はどうなっていますか。Stuxnetには、最近パッチが適用された2つの脆弱性やまだパッチが適用されていない2つの権限エスカレーションの脆弱性など、考慮するべき多くの側面があります。Q:私のPCや環境でStuxnetと識別されたファイルが発見された場合は、私が脅威の作成者の標的にされたということですか。いいえ、必ずしもそうとは限りません。それは以下のような理由によります。StuxnetはSCADAシステムをターゲットとしていましたが、以前は知られていなかったWindowsの脆弱性によって、USBデバイスなどのリムーバブルメディアを介しても感染が広がっています。そのため直接的にターゲットとされていないシステムもワームの保有者になる可能性があります。事実、マカフィーのコンシューマ向け製品の何千人ものユーザーから、本来はSiemensの産業用制御システムが動いているシステムをターゲットとしたバイナリ(すぐにメモリーにロードして実行可能なファイル)に関する報告が寄せられています。Stuxnetの攻撃ベクトルが知られるようになると、Stuxnetとは無関係の攻撃者も同じ攻撃ベクトルを悪用し始めます。汎用の検出シグネチャはStuxnetによる当初の攻撃と部分的に一致していることがあり、その場合は後から出現した攻撃も同じStuxnetの名称で検出されます。マカフィーでは、当初のStuxnetの攻撃に使用されたバイナリを検出したシグネチャとStuxnetとは無関係の攻撃を切り離して検出していますが、他社ベンダーはこれらをすべて「Stuxnet」として検出を行っているケースもあります。実際に、過去数ヶ月間で1000種類をはるかに上回るバイナリが、様々なベンダーによってStuxnetと命名されています。マカフィー製品による、Stuxnetそのもの、および2つの発表済みの脆弱性への対応状況は以下の通りです。Stuxnetへの最初の対策は、7月16日にリリースされたウイルス定義ファイル(6045)に組み込まれました。その後、7月24日にリリースされたウイルス定義ファイル(6053)によって、さらに対応範囲が拡張されました。Rootkit.d”として検出されます。Databaseの最新版で”Stuxnet”として対応しています。ホワイトリスト方式とメモリー保護機能によって、この新しいマルウェアによる攻撃ベクトルに対してプロアクティブな保護を提供します。Controlは、ホワイトリストに明示的に掲載されていない、あらゆるドライバーの読み込みや実行を阻止します。既知のエクスプロイトについては、現行のウイルス定義ファイルで”Stuxnet”および”Exploit-CVE2010-2568”として対応しています。7月28日にリリースされたウイルス定義ファイル(6075)では”Downloader-CJX.gen.g”によって対応範囲を拡張しています。