米マイクロソフトは2011年3月24日、東日本大震災に便乗したとみられるウイルス(マルウエア)が出回っているとして注意を呼びかけた。ウイルスの実体はWord文書ファイル。脆弱性のある環境では、ファイルを開くだけでパソコンを乗っ取られる恐れがある。

図1●今回確認された、震災便乗ウイルスの例(米マイクロソフトの情報から引用)
図1●今回確認された、震災便乗ウイルスの例
(米マイクロソフトの情報から引用)

 ウイルスは、拡張子が「doc」の文書ファイル。例えば、「福島原発.doc」といった名前のファイルが確認されているという(図1)。ファイルには、Wordの脆弱性を悪用する仕掛けと、ウイルスプログラムが仕込まれている。このため、脆弱性のあるWordでこのファイルを開くと、中のウイルスプログラムが動き出し、パソコンに常駐。インターネット経由で送られてくる攻撃者の命令に従って動作する。

 例えば、攻撃者は別のウイルスを送り込んで実行したり、パソコンの情報を盗んだりすることが可能になる。どのような動作も可能なので、事実上、パソコンを乗っ取られることになる。

図2●今回のウイルスが生成するダミーの文書ファイル例(米マイクロソフトの情報から引用)
図2●今回のウイルスが生成するダミーの文書ファイル例
(米マイクロソフトの情報から引用)
[画像のクリックで拡大表示]

 同時にウイルスは、ダミーのWord文書を生成し、Wordに開かせる(図2)。これにより、ウイルスが実行されたことをユーザーに気付かせない。文書は日本語で書かれている。マイクロソフトの情報によれば、文書の内容は、原発事故に関連したニュース。ウイルスのファイル名やダミーの文書が日本語で書かれていることから、国内のユーザーを狙っていると考えている。

 今回のウイルスが悪用するのは、2010年11月10日に公開された「Microsoft Officeの脆弱性により、リモートでコードが実行される」の脆弱性。自動更新を有効にしているパソコンや、Windows Update(Microsoft Update)を実行しているパソコンでは、脆弱性は解消されている。