セキュリティ組織である米SANS Instituteは米国時間5月17日，TCP 5000番ポートへのアクセスが急増していることを警告した。同ポートへアクセスする新種ワーム「Kibuv.B」と「Bobax」が原因と見られている。警察庁も5月18日，TCP 5000番ポートへのアクセス急増を警告している。これらのワームは，Windowsなどのセキュリティ・ホールを突いて感染を広げるので，パッチが適用されていること，不要なポートがきちんとふさがれていることなどを改めて確認しておきたい。

　米国時間5月15日に出現した「Kibuv.B」は，複数のセキュリティ・ホールを突く。「Sasser」ワームが突く「LSASSの脆弱性」のほか，「メッセンジャ サービスの脆弱性」，「IIS 5.0 WebDAVの脆弱性」，「RPC インターフェイスのバッファ・オーバーランの脆弱性」，「ユニバーサル プラグ アンド プレイ (UPnP) サービスの脆弱性」――を突いて感染を広げようとする。さらに，Sasserワームのセキュリティ・ホールも突く。つまり，Sasserに感染しているマシンは，Kibuv.Bにも感染する可能性がある。

　Windows XPでは，UPnPサービスがTCP 5000番ポートでリクエストを待ち受けている。このため，測定されている5000番ポートへのアクセスの一部は，「UPnP サービスの脆弱性」を突くKibuv.Bによるものだと考えられている。

　もう一つの原因とされている「Bobax」は「LSASSの脆弱性」を突く。Kibuv.Bとは異なり「UPnP サービスの脆弱性」は突かない。ただし，相手が感染対象かどうか判断するために，まずはTCP 5000番ポートへアクセスする。同ポートでUPnPサービスが稼働していれば，感染可能なWindows XPと判断して，「LSASSの脆弱性」を突くデータを送り込もうとする。

　セキュリティ・ホールや不要なポートをきちんとふさいでいれば，これらのワームに感染する恐れはない。アンチウイルス・ベンダーがこれらのワームに設定している危険度も低い。しかしながら，SANS Instituteによると，同組織が観測しているだけでも50万台のマシンに感染しており，この感染台数の多さはSasserやBlasterと同程度だという。きちんと対策が施されていることを改めて確認したい。

◎参考資料
◆Port 5000 increase due to two worms: Bobax and Kibuv（米SANS Institute）
◆W32.Kibuv.B（シマンテック）

（勝村　幸博＝IT Pro）