PR

 米Symantecは米国時間2009年7月9日,米国と韓国の政府機関などを狙って行われた大規模なDDoS攻撃について,さまざまなマルウエアが関与しているとの調査結果を発表した(関連記事:韓国と米国のWebサイトに大規模なDDoS攻撃,FTCなどがアクセス不能に米国や韓国のサイトを狙う大規模攻撃、原因はボットネット)。

 同社によると,感染の発端はメールの添付ファイルとして送られてくるドロッパ型のマルウエア「W32.Dozer」である。ユーザーがW32.Dozerを実行すると,マルウエア「Trojan.Dozer」「W32.Mydoom.A@mm」がパソコンにダウンロードされ,DDoS攻撃に悪用される。さらにW32.Dozerは「W32.Mytob!gen」もダウンロードする。W32.Mytob!genはパソコン内にあるメール・アドレスを収集し,各アドレスにW32.Dozerを送付して感染拡大を図る。このようにして,感染から攻撃実行,感染拡大というサイクルが作られる。

 Trojan.Dozerはバックドアとして機能し,外部からのコマンドを受け付ける。通信先のIPアドレスと通信に利用するTCPポートの番号は「213.33.116.41:53番」「216.199.83.203:80番」「213.23.243.210:443番」。DDoS攻撃を実行するほか,Trojan.Dozer自体のアップデートも行える。W32.Mydoom.A@mmは,W32.Mytob!genを削除する機能も持っている。

 攻撃源については,現在さまざまな情報があるとして具体的に伝えていない。

 また米メディア(CNET News.com)によると,今回のDDoS攻撃に悪用されているパソコンは5万台程度であり,このマルウエアには感染パソコンのマスター・ブート・レコード(MBR)などを削除する機能があると報じている。

[発表資料へ]