【OS】Windowsに新たな脆弱性、アイコンを表示するだけでウイルス感染 [10/07/20]

>>129
もうデジタル証明書は安全じゃないの？
これが崩壊するとMSやパーツメーカーとかからのパッチ＆ドライバ類まで信用出来なくなるんだけど。。。

どんだけ貧弱なんだよｗ

>>132
今回rootkitに使われてたのはベリサインで早速revokeされて、現在は失効状態
実はデジタル署名入りマルウェアは既に相当出回っている
http://www.f-secure.com/weblog/archives/00001973.html

今回はパーツメーカーの本物の証明書が盗まれたのが問題で、盗まれたことが分かるまでは
ダウンロードしたファイルだけ見ても正当かどうか判別できない

ベンダーのパッチとかはモジュール自体に加えて転送経路上の相手確認（https使ってればOK)も
必要になると思う
少なくとも第三者のサイトやP2Pなんかで落としたファイルは疑った方がいい

>>134
>少なくとも第三者のサイトやP2Pなんかで落としたファイルは疑った方がいい

疑うと言っても１ユーザーの身ではどうしようも。。。
p2pを使うほど巨大なパッチやドライバはあんま無いけど、第三者のサイトからなんかはしょっちゅうあるわー
ユーザー側で整合性を確認する有効な方法など>>129さん的に疑う方法への具体案って何かある？参考にしたい

>>135
公式提供者が、モジュールのメッセージダイジェストをhttpsのサイトで公開してれば
ダウンロードしたモジュールと比較して同一確認できるんだけど・・・
正直そういうサイトはあまり見たことがないです
現実的には、既知のウィルス感染チェックだけならvirustotalでできる
http://www.virustotal.com/jp/

というより一般論として第三者のサイトにあるドライバはやめた方がいいと思うがどうでしょう
httpsでなくても、正規のURLにあれば少なくとも
・DNSポイズニング等による偽サイトへの誘導
・（盗んだ）証明書によるモジュールの偽装
の二段階が成功しなければ、攻撃者はモジュールをダウンロード・実行させられないので

>>136
virustotalは頻繁に使ってる
使ってるからこそわかる誤検出率(もちvirustotal自体が悪いわけじゃなくてね)

>メッセージダイジェスト
メッセージダイジェスト＝(イコール)＝CRC、MD5、SHA、AESなどのハッシュ関数って認識でおｋ？
それとも違う事象を指してる？

>第三者のサイトにあるドライバはやめた方がいい
うー耳が痛いｗ
「未対応ハード対応」や「非公式のbagfix版」と聞くとどうも食指が。。。
やっぱユーザーがまず出来るのは自ら地雷原に足を踏み入れないってことか

前から分かってたけど、サポートが切れるまで黙ってたんだろ？

>>137
>メッセージダイジェスト＝(イコール)＝CRC、MD5、SHA、AESなどのハッシュ関数って認識でおｋ？
おｋ　ハッシュ関数というかハッシュ値ね

ドライバは特権モードで動作して何かあったときの危険性が高いので純正品に限った方が
いいと思います　セキュリティ上は

>>139
丁寧にサンクス

最後の質問！
>>129さんはそういった知識をどういったサイトや書籍で勉強してるの？
なにかオススメのサイト(もしくは書籍)よろ
もし非公開サイトならヒントだけでも

さすがにこれはサポートしてほしいわな>>2k
windows全バージョン共通とかどんだけ

>>140
英語が多くなっちゃうのは避けられないのですが・・・
http://www.sans.org/
セキュリティトレーニングを有償で行う組織だけど、無料で読める資料がたくさん(resourcesから）
最新動向はここ　>>1の脆弱性も7/16, 20, 21に触れられてます
http://isc.sans.edu/

日本語で基礎技術からまとめているところは・・・　みんながイヤがるIPA情報セキュリティ
http://www.ipa.go.jp/security/index.html
リアルタイム情報を個人でまとめているサイトは
http://www.st.ryukoku.ac.jp/~kjm/security/memo/　　（←有名だけど好き嫌いあり）
http://www.underforge.net/　　　（ただしリンク先はほとんど英語）
あとはアンチウィルスベンダー各社のBlog
http://blog.f-secure.jp/
http://www.symantec.com/business/security_response/weblog/
http://blog.trendmicro.com/

MS製品は直接セキュリティレスポンスチームのサイトを見るのがよいです
http://blogs.technet.com/b/msrc/
http://twitter.com/msftsecresponse　　（←公式チームのTwitter)

あとはこれらからのリンクで大体カバーできるかと
ほとんどRSSなどのフィードが提供されてます

ちなみに日経(日経BP、ITpro, ITmedia）のサイトは基本的に海外のセキュリティサイトに
公開された情報を1日遅れぐらいで日本語訳して公開してるだけなのでリアルタイム性には欠けます

これはつこうたで流行るな
自分はmacで開くから問題ないけど

>>142
全部お気に入り登録完了(｀・ω・´)ゞ
勉強させてもらいます！

つこうたつうか普通に流行るだろ
対策されるまで防ぎようがないし

Panda Security Japan ブログ
http://pandajapanblogs.blogspot.com/

CDboot Ubuntu最強だな
パソコンに一切痕跡のこらないし、
緊急時にはもってこい

アンチウイルスソフトで対策出来ないもんかね

>>148
>>86

読んでなかったごめんね

http://www.virustotal.com/analisis/2bf5d0fc31a6798a1997dfc373d9a904ee41c8ca96a0dd05b014d26a6c1ffb0e-1279938292

久々にお手軽でやばい脆弱性だな。Windows 2000おわった＼（＾o＾）／

って、これわざとだろw

Windowsを使わないのが一番
GoogleもWindowsを辞める

もう実証コードもあるし
ネット上で妙な圧縮ファイルを拾う→解凍→細工されたショートカット表示→同梱のワームやら何やら裏で実行→＼(＾o＾)／
みたいなのが頻発しそうだな

>>86
バスターも反応した

なんかそのうちサイバーテロも起こりそうだな

やばいage

余計なことして動かなくなったり、変な連中招き入れたり、鬱陶しいメッセージを繰り返し出したり
役人と同じだな

>>158
税金で人類を苦しめてるところも同じだな。

このスレに今回の脆弱性を分析してる人がたくさんいるけど、
正確な情報は一つもないので、信用しない方がいいよ。

今回の問題は、元々コントロールパネルアイコンの表示処理に問題があり、
リンクターゲットからのアイコンリソース読み込みの際に、
それがリモートにあろうと関係なしに単純にLoadLibaryW()しており、
DllMain()が走ってしまうという点にある。

で、うまく細工したショートカットを作ると、この処理を走らせることができ、
攻撃側が用意した不正なDLLの読み込み・実行をさせることができる。

この攻撃は、単純にエクスプローラでのアイコン表示以外に、
IEでのWebDAVアクセスでフォルダ表示への自動切り替えが発生するようなケースでも発動する。

恐くて試してないけど、
suckmeはC:\に決め打ちしてるけど
相対パスでもいけちゃうの？

>>161
分かんないけどいけるんじゃないかな。

一番怖くて、一番流行するだろうパターンは、
IEで「http://example.com/abc/」という不正なサイトにアクセスすると、
勝手に「\\example.com\xyz\」という共有フォルダ名にリダイレクトされるようになっており(WebDAVでもアクセスできてしまう）、
そこには「不正なショートカット.lnk」と「マルウェア.dll」があり、
lnkの指す先は「\\example.com\xyz\マルウェア.dll」になっている、というパターンと思う。

つまり、怪しいURL踏むと攻撃発動。

>>160
> このスレに今回の脆弱性を分析してる人がたくさんいるけど、
> 正確な情報は一つもないので、信用しない方がいいよ。

↑のフリして


> 今回の問題は、(長文につき略)

↑この流れは正直ないわー
信用していいのか信用しちゃダメなのか

>>163
何がなくて困っているのか分からんが、
俺のレスもそれ以外も信用しなければ解決するんじゃね？

Windows使わなければ全て解決

UbuntuかMacに移行しましょう

この件でSophosから無償の保護ツールが出た
http://www.sophos.com/products/free-tools/sophos-windows-shortcut-exploit-protection-tool.html
既存のアンチウィルスソフトとは干渉せず、Windowsが.LNKファイルをアクセスする際の妥当性を
実行前にチェックするそうだ
Fix Itを適用したくない人は検討してもいいかも
ただしPIFファイル経由の攻撃には未対応

bat ファイルで揃えてみる

これってかなりやばいんじゃないですか
あんまり周知されてはないみたいですけど

エクスプローラ上でzip解凍したら即感染！
なんてこともあるわけか…

windows2000を使い続けるなんて人は、アイコン非表示にしたら良いだけ

これは嘘で、対策をしたのでもう関係ありません

ついでにエクスプローラはzipに触れるだけで開こうとするのやめろ。

MSは「OS」とか無関係の
さまざまなゴミをWindowsに組み込んだり
IE6をOSと一体化させたり
という「大きな間違い」を
たくさん犯してきたことを反省せよ。
　
たとえば「ファイル名の後ろ3文字を変更するだけで
誰でもいつでも何でも実行可能になる」という仕組みは
MS-DOSからの悪い伝統で
現在では危険きわまりない。
　
Windowsは「堅牢なOS」を目指すべきで
(DQN向けの)利便性やデザイン追求は
終わりにしてくり

>>172
2000はzipを開くアプリケーションを持っていません。
XPで困っているなら、別の圧縮解凍ソフトを入れて関連付けを変更するか、または

WindowsXPでCabやZipなどの圧縮ファイルの展開を無効にする
http://homepage2.nifty.com/winfaq/c/ntperf.html#1354

>>174
回避方法あったのね
どうもありがとう！

8/3に定例外で緊急パッチ公開か

そうせWindows2000はスルーなんでしょ。
サポート打ち切りを理由に

>>177
当然だろ。わざわざいうべきことでもない

うちは前もって買っておいたからいけるんだけど、
実際問題として、2000がこれでダメだから・・・って
PenM辺りのノートパソコン用とかで店頭にXP買いに
出向いて買えるもんなのかね？

PenMに7じゃ、いくらなんでもメモリ1G切ってたら
実用には厳しいと思うんだけど。

はいパッチ来ました

マイクロソフト セキュリティ情報 MS10-046 - 緊急
Windows シェルの脆弱性により、リモートでコードが実行される (2286198)
http://www.microsoft.com/japan/technet/security/bulletin/ms10-046.mspx

Windows 2000, XP無印, SP1, 2には
　・今後パッチは出ません
　・今から騒いでも変わりません
ので、毎月公開されるセキュリティホールは開きっぱなしです
時間経過とともに脆弱性が増しますので、いい加減に乗り換えるか、
強力なファイアウォールやウィルス対策アプライアンスを設置して
最低限他人に迷惑をかけないようにしましょう

マイクロソフトが馬鹿やるからアンチウイルスの会社が儲かるんですね
OS＝2万5千円（5年使用）　としても　アンチウイルスソフト　1年5000円ｘ5年
で2万5千円。OSと同じかそれ以上にMSの穴ふさぐソフト代金かかるのですか。

アニメーションカーソルの脆弱性（2007年4月）以来の数年に1回の頻度のやばい脆弱性が、
Windows 2000のサポート完全終了後すぐに出てくると、さすがに意図的なものを感じざるを得ない

見ただけで発動タイプって、滅多に無いかなりやばい脆弱性だぞw

>>179
DSP版なら購入できるよ
PCパーツと同時購入ね

>>183
ありがとう。
結構2000の知り合いがいるから教えてあげるよ。
　「メモリ512MB無いならさすがに諦めて」
とは既に言ってあるんで。

>>184
価格コムでみると、まだXPの在庫を持ってるお店もあるね
でもOS単体だと結構値が張る気がするので
新しいPC購入した方が幸せになれるかも

DELLとかならXPダウングレード権を付けられるし

あと、黒翼猫さんのサイトで今回の対策ツールが紹介されてるよ

実は2kサポート終了前から見つかってたんだろ？この脆弱性
MSは本当にやることが汚いなあ

2k並にシンプルで使いやすいOS出したら許してやる

MSの脆弱性は五万とあるが対策はしていない
対策できたら今回のように発表していかにもやってるっていうポーズ

脆弱というか弱すぎ

OS自体、拾い食いがデフォなんだ。
察してやれ。

実は大穴開いてました、というレベルだからなぁ

>>187
へー、いま発表されてない脆弱性はいくつぐらいあるの？

五万ぐらいじゃね？ｗ

Linux → ピラミッド
Mac → 姫路城
Windows → 三豊百貨店

windows捨ててlinuxにしてよかった。
再インスコ時にライセンスで蹴られて電話したら割れ物扱いされた恨みは忘れない。

MSが渡してるマニュアルに、電話してきた奴は犯罪者だと思えと書いてるからね。

>>194
> 再インスコ時にライセンスで蹴られて電話したら割れ物扱いされた恨みは忘れない。
俺も同じく、そういうことをされたんで、７を買うかとうか迷ってる

パッチでたけどもう安全と思って良いの？

LNK脆弱性悪用のStuxnetワームとイランでの高い感染率
ttps://www.netsecurity.ne.jp/3_15773.html

やれやれ面倒臭いな
また仮想環境でwindwos使うか。

>>181
MSE使えばいいじゃないw