サイバークリーンセンター｜2010年08月度　サイバークリーンセンター活動実績

※

注意喚起数について、当月の注意喚起対象者に前月以前の対象者との重複があった場合であっても、重複を考慮せず算出している。
　累計については、期間を問わず対象者の重複は省いた数値である点に注意。

検体攻撃事象収集型HoneyPot の推移を見ると、国内のMS03-026を狙った攻撃数が大幅に減少している( 図7 )。
これはMS03-026を突いた後PE_VIRUT.AV、 PE_VIRUT.XZのダウンロードを行う攻撃数が減少したためであり、検体種類別比率を見るとPE_VIRUT.AVの収集数は先月の3,110件から57件、PE_VIRUT.XZの収集数は2,197件から10件以下となっていた( 図6 )。

また、検体収集型HoneyPotの推移にて国内の収集数が大幅に減少している ( 図1 ) 点も上述と同様、国内からのPE_VIRUT.AVの収集数が先月末から続いて減少しているためである。また、PE_VIRUT.AV感染後に接続されていた海外特定サイトからの検体収集数も0件となっており、そのサイトからダウンロードされていたWORM_PALEVO.SMP, WORM_PALEVO.SMJFの収集数は今月の上位20位から姿を消していた( 図5 )。

サイバークリーンセンターでは、以下の２種類のハニーポットを有します。それぞれの状況について示します。

＜検体収集型＞
	マルウェア検体を収集することを主目的として設計されたハニーポット。検体の収集にともなう攻撃元IPアドレスも記録することができる。攻撃事象収集型よりも多様なマルウェアを収集することが可能。

＜攻撃事象収集型＞
	攻撃元IPアドレスを記録することを主目的として設計されたハニーポット。マイクロソフト社OSの主要な脆弱性に対応している。検体収集型よりも効率よくボット感染者を見つけることが可能

［調査対象期間：2010/06/01～2010/08/31］

図１．検体収集型ハニーポット

図２．攻撃事象収集型ハニーポット

［調査対象期間：2010/08/01～2010/08/31］


図３．検体収集型ハニーポット		図４．攻撃事象収集型ハニーポット

［調査対象期間：2010/08/01～2010/08/31］

図５．検体収集型ハニーポット

図６．攻撃事象収集型ハニーポット

［調査対象期間：2010/06/01～2010/08/31］

図７．攻撃事象収集型ハニーポット国内収集推移

図８．攻撃事象収集型ハニーポット海外収集推移

CCC クリーナーには検出状況の送信機能(以下、送信ログ)を実装しています。CCC クリーナー使用者から任意で検出状況について情報(送信ログ)を送付してだくことで、CCC クリーナー実行環境における検出状況の傾向や変化などの観測、ボット対策の検討に役立てております。送信ログの収集数の推移について図９に示します。

［調査対象期間：2009/08/01～2010/08/31］

図９．送信ログ収集数の推移

［調査対象期間：2010/08/01～2010/08/31］

010年8月1日から2010年8月31日の期間に収集した送信ログにおけるOS の分布を図10に示します。Windows XP SP3 が68.8%、Windows Vista SP2が約17%と、どちらのOSにおいても、最新のSPが適用されている送信ログが継続して多く見られています。
しかし依然として、Windows XPではSP0からSP2の送信ログが約10%、Windows 2000 からの送信ログも約2.7%確認されており、Windows Updateが実施されていない環境も引き続き多く存在しているようです。

図11はWindows XPおよびWindows Vista のSP毎の検出ログの比率を示したグラフです。図11のグラフが示すように、より新しいSPが適用された環境のからの送信ログの方が、検出ログの比率が低い傾向が見られています。特にWindows 2000やWindows XP SP2については2010年7月13日で製品サポートが終了しています。早急なOSのアップグレードやアップデートなどの対応が望まれます。

図10．送信ログにおけるOSの分布

図11．Windows XPおよびWindows Vistaにおける検出ログの比率


*	参考 URL マイクロソフトWindows Vista RTM / Windows XP Service Pack 2 (SP2) / Windows 2000 (Server / Professional) 製品のサポート終了についてのご案内 http://www.microsoft.com/japan/windows/lifecycle/default.mspx

［調査対象期間：2009/08/01～2010/08/31］

図12．Windows 2000 における検出傾向

Windows 2000の環境でWORM型などのいわゆるネットワーク経由で感染するマルウエアの検出が目立ちます。特に引き続きUSBの自動再生機能を悪用やMS08-067の脆弱性を悪用し感染を広げるWORM_DOWNADの検出が引き続き確認されています。

図13．Windows XP における検出傾向

Windows XPの環境でWORM_TATERFやWORM_AUTORUN、Mal_Otorun2などリムーバブルメディア(USBフラッシュメモリなど)機能を悪用して感染を広げるマルウエアの検出や WORM_ONLINEGなどオンラインゲームのアカウント情報などを狙うマルウエアの検出が、引き続き多く確認されています。

図14．Windows Vista における検出傾向

Windows Vistaの環境では、WORM型ではなくTROJ型のマルウエアを多く確認しており、特にTORJ_JAVA, TROJ_FAKEAV、TROJ_GETCODEC、TROJ_BREDLAB、TROJ_BREDOLABなどWeb サイト経由やメールの添付ファイルとして送られるマルウエアの検出が、引き続き多く確認されています。