Java携帯や，Windowsモバイル機器に感染するトロイの木馬が相次いで出現

2006.03.01

トロイの木馬「Trojan-SMS.J2ME.RedBrowser.a」をインストールさせようとしている画面（Kaspersky Labのサイトより引用）

　ロシアのKaspersky Labが現地時間2月28日に，Java 2 Platform, Micro Edition（J2ME）対応携帯電話機に感染するトロイの木馬「Trojan-SMS.J2ME.RedBrowser.a」について警告を発した。

　このトロイの木馬は，WAP接続を行わずWAPサイトを閲覧できるとの触れ込みのプログラム「RedBrowser」として広まるという。携帯電話機には，WAPサイトからインターネット経由でダウンロードされるか，パソコンからBluetooth経由で転送されるかして感染する。「redbrowser.jar」という5万4482バイトのJARアーカイブに，以下のファイルが入っている。

・FS.class：補助ファイル（2719バイト）
・FW.class：補助ファイル（2664バイト）
・icon.png：グラフィックス・ファイル（3165バイト）
・logo101.png：グラフィックス・ファイル（16829バイト）
・logo128.pnh：グラフィックス・ファイル（27375バイト）
・M.class：インタフェース・ファイル（5339バイト）
・SM.class：トロイの木馬（1945バイト）

　Kaspersky Lab社によると，トロイの木馬の作者は，ショート・メッセージング・サービス（SMS）を使って無料で送受信を行い，WAP接続を伴わないでWAPサイト閲覧を実現すると説明しているという。実際には，1つのSMSメッセージに付き5～6ドルが感染者の負担になるという。感染した場合は，携帯電話機に標準搭載されているユーティリティで簡単に削除できる

　これまでのところ，Kaspersky Lab社が入手したサンプルは1件だけで，Beeline社，MTS社，Megafon社といったロシアの大手モバイル・サービス業者を狙ったものという。「ただしRedBrowserの亜種や同様のプログラムは，インターネットに出回っているかもしれない」（Kaspersky Lab社）

　またモバイル機器のセキュリティ研究者の団体Mobile Antivirus Researchers Association（MARA）は，WindowsパソコンとWindows Mobile Pocket PCモバイル機器の両方に感染するトロイの木馬「crossover」を明らかにした。MARAは匿名の人物から送られてきたとしている。

　crossoverは，両環境に感染できることを技術的に示すためのもので，動きなどを説明したテキスト・ファイルを含んでいるという。それによると，感染する環境は各種パソコン用Windows，Windows CE，Windows Mobile（.NET Compact Framework 1.1付き）。

　活動を開始するとcrossoverはOSの種類を調べ，モバイルOSでなければ自身をコピーし，パソコンが次回起動されたときにも動くよう設定し，モバイル機器が同期されるのを待つ。モバイル機器が接続されると，自身をモバイル機器にコピーし，実行する。モバイルOS上で活動を開始すると，\\My Documents内のファイルをすべて削除し，\\Windowsに自身のコピーを，\\Windows\\startupにそのコピーへのショートカットを作る。