PR

 マイクロソフトは8月16日,昨日公開したセキュリティアドバイザリを更新し,特定のレジストリ・キーの値を変更することでも「Zotob」ワームに感染しないようにできることを追記した。ただし,現在稼働中のアプリケーションや運用に影響を及ぼす可能性があるとして,広範囲なテストを行わない限りは,レジストリの変更を推奨しないとしている。このため「MS05-039」のパッチを適用することが最善の対策だと考えたほうがよい。

 8月15日以降,マイクロソフトやセキュリティ・ベンダー/組織は,Windowsのセキュリティ・ホール「プラグ アンド プレイ の脆弱性により,リモートでコードが実行され,特権の昇格が行なわれる (899588) (MS05-039)」を突いて感染を広げる「Zotob」ワームを警告している(関連記事)。

 現在のところ大規模な感染被害は確認されていないものの,変種が次々と出現している模様なので注意が必要。米SANS Instituteによれば,ネットワーク経由に加え,メールでも感染を広げる変種が見つかっているという(メールに添付されている場合には,添付ファイルを実行しなければ感染しない)。

 マイクロソフトでは8月15日に公開した「セキュリティ アドバイザリ (899588)」において,パッチの適用やTCPポート445番などの遮断がZotob対策になると公表していたが,今回,新たな対策方法を追記した。匿名接続(nullセッション)を無効にすることでもZotobの感染を防げるという。

 具体的には,「RestrictAnonymous」レジストリ・キーの値を2に変更して匿名接続を無効にすれば,匿名ユーザー(権限を持たないユーザー)にリモートから「MS05-039」を突かれることはなくなる(Windows 2000はデフォルトで匿名接続が有効)。つまり,Zotobなどに感染することはなくなる。匿名接続を無効にする方法は,「Windows 2000 でレジストリ値 RestrictAnonymous を使用する方法」に詳しい。

 ただし,匿名接続を無効にすると,多数のアプリケーションで互換性の問題が発生する可能性があるとして,マイクロソフトでは「各環境にて広範囲なテストを行わない限り,この設定を運用環境にて有効にすることをお客様に推奨しません」としている。

 このため当初から言われているように,「パッチの適用」や「TCPポート445番などの遮断」,「ウイルス対策ソフトの利用」——などで対応したほうが無難である。なお,Zotobは感染を広げるためにFTPサーバーとして動作する“機能”があり,そのときにはTCPポート33333番でアクセスを待ち受けるとされている。このため同ポートを防ぐことが対策の一つとして挙げられているが,SANS Instituteでは,「新たに出現した変種では,別のポートを使う場合がある」として注意を呼びかけている。

◎参考資料
セキュリティ アドバイザリ (899588)