HorseMP3ファイルのID3タグに偽装されたトロイの木馬が発見された。このトロイの木馬を用いることによって以下のような機能を有する可能性がある。ユーザーのファイルを削除する自分自身のコピーをメールする他のMP3/JPEG/GIF/QuickTimeファイルに感染する。てこたぁ、怪しいのはMP3ファイルだけじゃないってことだ。X用のmalwareを作るのは、技術的にそれほど困難ではない。こんなヌルい方法じゃなくてもっと爆発的にマックコミュニティにダメージを与える方法もある......というわけで、キディを防ぐためだろうが技術的な情報はほとんど書かれていない。アプリケーションが通常のファイルに偽装する手段をとっている、ということだろう。いずれにせよ、ついにきた、ということである。Xで動作するアプリケーションを隠し持っている。Xは.mp3拡張子のあるファイルにMP3ファイルのアイコンをつけ、アプリケーションであると表示しないため、ユーザはファイルをダブルクリックすれば音楽が聞こえると誘導される。Xが動作するコンピュータへダメージを与えることになる。iTunesでこのトロイの木馬に含まれるMP3を聞くことができるため、ユーザは音楽ファイルだと信じてしまうだろう。このトロイの木馬は始まりに過ぎない。この技術を用いてよりシリアスな脅威を導くことが可能だ。我々が同定したトロイの木馬の最初のバージョンは安全なものであった。この技術を用いてよりシリアスな脅威を導くことが可能である。「ユーザのファイルを削除する」から得られる情報として、これはユーザ権限で動作するトロイの木馬である、ということが、まず安心の種といえる。ある権限昇格技法を用いるような凝ったモノじゃないってことだ。clickで起動する、という性格から考えるに、アプリケーション/スクリプトのたぐいであろうことも予想できる。Playerの脆弱性という形で現れるだろうからだ。ダブルクリックでなくiTunesで聞くことができる、という情報からは、データフォークではなくリソースフォークに実行ファイルが潜んでいる可能性がある。ともに、アプリケーションがファイルに偽装している可能性がある。Appleへこの際提案したい/Applications、~/Applicationsや/bin,/usr/local/binなど、決められた位置以外からのプログラム起動の拒否。リソースフォークの撤廃。OSから引きずった仕様が、我々ユーザを今後苦しめるであろう。この際、これらの機能を削ってしまえ。本家情報vmタソサンクスコンセプトファイルこのコンセプトファイルは、Carbon/CFMアプリケーションだ。ファイルタイプはAPPL。れっきとしたアプリケーションであるし、ファインダーのプレビュー欄でも「アプリケーション」と見える。9以下でも動作するらしい。PPCコードの断片がID3ファイルに入れてあるとのことである。たのむからこういうデリケートなファイルを糞.sitで固めないでくれ(TTこいつ、QuickTime自動実行脆弱性知らんのか?ココへリンクする人へお願いウチへのリンクなんざどーでもいいから、一次情報http://www.intego.com/news/pr40.htmlをヨロ。Xウイルスが見つかるがあがってたのか。Xの脆弱性を利用している、とあちこちで書かれている。その脆弱性ってどういうことなのよ。いう解説が、実はほとんどないね。今回のトロイの木馬に関して言えば、特定の拡張子を持ったアプリケーションがファイルに偽装されてしまうという脆弱性がある。ご存知の通り、アイコンを書き換えちゃえばいくらでもユーザを騙すことができるんで、回避のしようがないと考えられる。X用のMalwareに利用されるであろうと予測する。それは、どこに置いたアプリケーションでも実行できてしまう、という脆弱性だ。ダウンロードフォルダにダウンロードしただけのアプリケーションであっても即実行可能。ファイルの振りをしたアプリケーションでも実行可能、ファイルパスさえ判ればブラウザなどからリモートでも実行可能。ダウンロード>マウントしたディスクイメージからでも実行可能だ(QuickTime自動実行脆弱性を用いるとマウントした瞬間に自動的に実行できる。あの脆弱性も、ここに起因している訳だ)だからこそ、/Applicationsや~/Applicationsに入れるなり「実行属性」をつけるなり、ユーザが自分の意志で「これはアプリケーション」としなければアプリケーションとして振る舞えない仕組みを導入するべきなんだ。UNIX的な知識や経験はほとんどないけど、/binや/usr/local/binなど「pathの通った」場所でなければアプリケーションが実行できないというのは、こういう脆弱性を持たないために必要で一般的な措置なんだよね。Horsrでおしかりを受けました。最悪のシナリオを想定してアナウンスなどを行うべきとのこと。INTEGOがどのようなトロイの木馬を見つけたのかが公開されていない以上は「出所不明のファイルを開かない」という対処を行う必要があります。実行ファイルとなるトロイの木馬が登場したことで、この件に限らずSafariの環境設定>ダウンロード後「安全」なファイルを開くチェックボックスはオフにしておくことをお勧めします。platform.”MacCentralいずれにせよ「出所不明のファイルは開かない」「安全なファイルを開くをオフ」だけど......実際のところどうなんだろね。あと、しろやまさんの対処にも後ほど言及予定。可能性の問題INTEGOの各所のコメントを読み、注意深く読みなおすと「可能性」についての言及であることがわかりました。現時点ではいまだ実在する悪意のトロイの木馬は出回っていない「可能性」が大きいということです。いい教訓になりました。可能性だけの話であるならば......やめとこ......先にAppleに報告だぁな。Xが持つ潜在的な脆弱性を根源的に遮断できる一つの考え方だと思うんで、いろいろ実験してみます。次回があれば、もっと慎重に発言しなければならないですね。シンプルに問題に向き合っていれば、よりよい情報が発信できたはずと反省しています。Xで安全なアプリケーションのありかたとは?」というテーマ(妄想ですか)が、余計な情報を紛れ込ませ、読んでいる方々に間違っていたり誇張されていたり、このときこの場で読んでも意味がない情報をいくつか紛れ込ませました。今日の日記は後日メンテナンスする予定ですが、それまでは、騒いでしまった反省のため残しておくことにします。コメントをキャンセルメールアドレスが公開されることはありません。WPML%d人のブロガーが「いいね」をつけました。