「米AOLのIM経由で感染するワームは中東のハッカー・グループが関与」，米FaceTime

ITPro

2005.11.18

　セキュリティ・ベンダーの米FaceTime Communicationsは米国時間11月17日，米America Online（AOL）のインスタント・メッセージング・サービス「AOL Instant Messenger（AIM）」を介してルートキットをインストールするワームには中東のハッカー・グループが関係しているとの見解を発表した。

　同ワームは，FaceTime社が10月28日に検出した。AIMユーザーのBuddy List（アドレス帳）に掲載されたほかのAIMユーザーに感染を試みる。AOLのチャット・ルームでも感染する。AIM以外のメッセージング・サービスを使っていても，他のパソコン経由で感染させられる危険性がある。

　現在1万7000台以上の感染パソコンがボットネットを形成し，1台のサーバーから制御できる状態になっているという。同社では，こうした制御用サーバーが世界各地に複数あるとしている。「このボットネットに組み込まれたパソコンは，Webサイトを狙ったサービス拒否（DoS）攻撃などさまざまな悪事に使われかねない」（FaceTime社社長兼CEOのKailash Ambwani氏）

　同ワームは，感染したパソコンにルートキットとして機能する実行ファイル「lockx.exe」をインストールする。lockx.exeはあるIRCサーバーに接続し，攻撃者からコマンドが送られてくるのを待つ。lockx.exeには，データのダウンロードおよびアップロード，パソコンの監視といった機能のほか，アンチ・ウイルス・ソフトウエアの動作を止めたり，バックドアを仕掛けたりする機能もある。

　同ワームは，データのアップロード，ダウンロード，パソコンの状態監視などを行うマルウエア「ster.exe」もインストールする。このマルウエアは，Microsoft Outlook Expressからパスワードやキー入力ログを盗み，Webブラウザで自動入力設定されている個人情報を取得して外部に送信する。ほかのマルウエアのダウンロードや，DoS攻撃も実行できる。

　同社は同ワームに関する詳しい調査結果を米連邦政府の関係機関に報告済みで，捜査などに協力するとしている。