まっちゃだいふくの日記★とれんどふりーく★でも書いた、予定されていたMicrosoftの緊急パッチリリースです。WindowsのServerサービスに脆弱性でリクエストで任意のコードを実行できるみたいです。Blasterの再来ですな・・・こりゃー怖い。サービスに存在する脆弱性を解決します。リクエストを受け取った場合、リモートでコードが実行される可能性があります。システムで、攻撃者によりこの脆弱性が悪用された場合、認証なしで任意のコードが実行される可能性があります。この脆弱性が悪用され、ワームとして悪用できるコードが作成される可能性があります。リソースを保護することができます。http://www.microsoft.com/japan/technet/security/Bulletin/ms08-067.mspxRPCリクエスト処理の絡みだそうです。リクエストを処理する方法を修正することにより、この脆弱性を解決します。http://www.microsoft.com/japan/technet/security/Bulletin/ms08-067.mspxやっぱり、悪用と標的型攻撃で使われているそうです!!!!!!!!このセキュリティ情報の公開時に、マイクロソフトはこの脆弱性が悪用されたという報告を受けていましたか?はい。マイクロソフトはこの脆弱性を悪用しようとする限定的な標的型攻撃を確認しています。マイクロソフトはこのセキュリティ情報が最初に公開された段階で、公開された検証用コードの例を確認していません。非常に深刻なためにその必要性を正当化するためだ。Serviceによると、Microsoftが最後に臨時のパッチをリリースしたのは2007年4月に遡るという。445/TCPで不正に細工された悪意のある通信パケットを受信することで、システムを完全に掌握される可能性があります。おいて標的型攻撃を確認しています。ついては、深刻度は重要で、悪用も比較的困難であると分析しています。悪用も確認されていますので、可能な限り早期に適用することを推奨しています。http://blogs.technet.com/jpsecurity/archive/2008/10/24/3141026.aspxトロイの木馬のExploitするサンプルがあるそうです。MS08-067websenseでサンプルVirusTotalに通すと25%しか検知できないとのこと。ForcepointWebSenseがVirusTotalかけてくれていました。n2.exeという検体みたいです。(25.00%)http://www.virustotal.com/analisis/aa0b4951ba47a5780a4fe9d0fdf6d521ってことで、McAfeeが接続先を出しています!!!ここ(hxxp://59.106.145.58)をフィルタがよさそうです。SearchMSでは、TrojanSpy:Win32/Gimmiv.A、TrojanSpy:Win32/Gimmiv.A.dllだそうです。MSRCってことで、合わせると。value>らしいです。address>/test2.php?abc=1?def=2http://www.microsoft.com/security/portal/Entry.aspx?name=TrojanSpy%3aWin32%2fGimmiv.A.dll感染すると%Temp%にVIBFDHBF.batというファイルを落とすそうです。SymantecMS社内調査で2週間ほど前にマルウエアを発見したとのこと。XPを標的としたマルウェア攻撃を発見。詳しく調べたところ、未知の脆弱性を突いたものであることが判明した。その後の分析で、この脆弱性を悪用するとワーム作成も可能であることが分かり、次回の月例アップデートを待たずに臨時パッチをリリースするのがユーザーにとって最善だという判断をした。OneCare」の定義ファイルも更新。この脆弱性を突いたエクスプロイトコードやマルウェアを検出できるようにした。ほかのウイルス対策ソフトメーカーにも情報を提供済みだといい、ユーザーに対してはWindowsの更新と同時にウイルス対策ソフトも更新するよう呼び掛けている。まっちゃだいふくの日記★とれんどふりーく★にて対応しています。ウイルスファイルのURL詳細が増えています。hxxp://59.106.145.58/に、n1.exe〜n9.exeが存在する模様。USAF-Secureもウイルス情報出ました。abcとdefはOSバージョンとアンチウイルスソフトのバージョンみたいです。buffer.http://www.milw0rm.com/exploits/6824小島先生がダウンロードしたVirusTotalをかけてくれました(どうも全部MD5が違う模様)一応は、5.615.00ですべて対応済みですね。対応が終わったのが、15時44分。セキュメモMLみて対応してたってこと?なお、サーバが設置してあると推定される場所は、そのIPアドレスから日本国内のレンタルサーバである可能性が挙げられます。15:44にウェブサイトの閉鎖についてご連絡いただいています。セキュリティブログ2時間でPoCが出ちゃったという話。今回も早かったですねぇ。ウイルス既にあったしね。米国Microsoftが10月23日の朝、Windowsの「緊急」の脆弱性について詳細を明らかにしたところ、この脆弱性を利用する実証コードがほんの数時間で登場した。この実証コードは、セキュリティ・テスト・ツール・ベンダーのImmunityの開発者が作成し、同社はMicrosoftがこの脆弱性に対応するパッチを公開した2時間後にその存在を明らかにした。このコードはImmunityの顧客だけに提供されるが、専門家は、その類似バージョンがすぐに広く出回ると予想している。http://www.computerworld.jp/topics/ms/125131.htmlSDLでも抜けがあった。このSDLでもっともっと、同様のパッチが来月以降出るでしょうね。Microsoftは近年、莫大な資金を投入し、こうした脆弱性を根絶する取り組みを進めてきた。Howard)氏は、「われわれはファズ・テストを実施していたが、この脆弱性を発見できなかった。これは見つけておかなければならなかいものだった」とブログで述べた。「われわれは、ファズ・テストのアルゴリズムとライブラリを改善するつもりだ」と同氏。http://www.computerworld.jp/topics/ms/125131.htmlGJ!Trendmicroアップロードに利用されたウェブサーバは、日本国内に設置されたレンタルサーバで、攻撃を確認したトレンドマイクロではレンタルサーバ事業者へ連絡し、サイトは閉鎖されている。NEXTリバースエンジニアリングしたら確かにDCERPCリクエストが出ていたみたい。McAfeeTSPY_GIMMIV.Aは、MS08-067を悪用していなく、WORM_GIMMIV.AがMS08-067を悪用するそうです。※当初本記事中において、「TSPY_GIMMIV.A」自体に脆弱性(MS08-067:CVE-2008-4250)を悪用するかのような表現がありましたが、リージョナルトレンドラボのその後の調査により、「TSPY_GIMMIV.A」自体に脆弱性を悪用するコードが含まれていないことを確認いたしました。本脆弱性を悪用したワーム型不正プログラム「WORM_GIMMIV.A」の感染活動の一つとして、「TSPY_GIMMIV」がダウンロードされることを確認いたしました。セキュリティブログMS08-067のPoCのコードまで出ています。何が動くのかよくわからん。PoC)SANSのイエローがグリーンに戻ったそうです。理由は脅威が減ったから?まぁパッチがでて重要性が広まったからSANSの役割的にはグリーンってことか。MS08-067一方Sunbeltではワームステージに変わったと発表。確かにWORM_GIMMIV.Aが出ていますしね。(yet)はやくパッチを当てようね!とのこと。Slammerタイプのワームのステージに移ったとのこと。stage.http://sunbeltblog.blogspot.com/2008/10/red-faced.htmlSecuriteamがMS08-067のFAQを出しています。BlogsSnortのルールも出ているそうです。BO2,"というIPSにシグニチャ@Symantecが出ているそうです。today.https://forums.symantec.com/syment/blog/article?blog.id=vulnerabilities_exploits&message.id=173#M173MS08-067の脆弱性をつくウイルスがパスワードを盗むものとして出ているそうです。セキュリティ企業各社は2008年10月24日、公開されたばかりのWindowsの脆弱(ぜいじゃく)性を悪用するウイルス(ワーム)が出現しているとして注意を呼びかけた。感染すると別のウイルスをダウンロードされるとともに、パスワードなどを盗まれる恐れがある。xTECH(クロステック)WORM_GIMMIV.Aのことか。修正パッチを適用しておらず、なおかつファイアウオールやブロードバンドルーターを利用していないパソコンでは、ネットワークに接続するだけでWORM_GIMMIV.Aに感染する恐れがある。EMMexploit:http://milw0rm.com/sploits/2008-MS08-067.rarhttp://www.milw0rm.com/exploits/6841\の解析にひとつ左の\を探すロジックにバグだそうです。セキュリティ情報サイトの「SecuriTeam」など、いくつかのサイトに掲載されている逆コンパイルリストによると、具体的にはこの脆弱性は、WindowsのシステムファイルであるNETAPI32.DLLに存在している。操作したいリモートのファイル名文字列で「\」コードの解析中に、1つ左の「\」を探すという操作を行う際にバグがあり、スタックオーバーフローを引き起こすというものだ。NT由来のほぼ全く同じコードが流用されている。HTTPではExploitしないそうです。TCP/IP.http://blogs.technet.com/swi/archive/2008/10/25/most-common-questions-that-we-ve-been-asked-regarding-ms08-067.aspxMicrosoftはMS08-067を悪用するExploitが出たことで、セキュリティアドバイザリを出したそうです。Wassr)だの、Blasterだの騒がれていますねまぁ、このMicrosoftの慌て様からすると、かなり悪用とかもされてる可能性もありそうですね。ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]月別アーカイブはてなブログをはじめよう!ripjyrさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。