© 1995-2006 Symantec Corporation. All rights reserved. 商標について プライバシーポリシー
CodeRed Worm
発見日: 2001年7月16日 (米国時間) 最終更新日: 2003年6月13日 15:04 (米国時間)
2003年6月13日（米国時間）、Symantec Security Responseは、CodeRed Wormの危険度を3から2に引き下げました。
CodeRed Worm Update: August 10, 2001 (9:00 AM Pacific): Symantec Security Response ではお使いのコンピュータ上の脆弱性の評定と CodeRed ワームと CodeRed II を駆除するツールを作成しました。CodeRed 駆除ツールを入手するには、ここをクリックしてください。 CodeRed Worm Update: August 5, 2001 (12:00 AM Pacific): CodeRedの変種はCodeRed IIとして検出します。CodeRed IIに関する詳しい情報はこちらをクリックしてください。 CodeRed Worm Update: July 31, 2001 (1:00 PM Pacific): CodeRedワームは、無限スリープに入るというロジックのため、このワームによる感染拡大は2001年7月28日時点で停止していました。推測に拠るところが大きいと思われますが、このワームは2001年8月1日に再び覚醒し活動を再開することが危惧されています。Symantec Security Responseの分析によれば、既に感染していたマシン内のワームが、再感染によって再び覚醒することはないようです。ワームが再びインターネットに注入された場合でも、その影響を受けるのは、Webサーバ上にセキュリティホールが残っているマシンのみです。以前このワームに感染していたマシンでも、修正パッチが適用されていない場合は再び感染するおそれがあります。Symantec Security Responseでは、IIS4.0または5.0のユーザに対し、マイクロソフトが配布している修正パッチを2001年8月1日までに適用するようお勧めしています。Symantec Security Responseでは引き続きインターネット上でのCodeRedの活動を監視し、最新情報を随時お知らせする予定です。 CodeRed Wormは、IIS 4.0または5.0 Web Serverが動作しているWindows NT 4.0またはWindows 2000システム上のMicrosoft Index Server 2.0 および Windows 2000 Indexing serviceに感染します。このワームは、Idq.dllファイルに含まれるバッファ・オーバーフローと呼ばれる既知の脆弱性を利用します。この脆弱性に関する情報とマイクロソフトの修正プログラムについては下記のWebサイトをご覧ください。 http://www.microsoft.com/japan/technet/security/bulletin/MS01-033.asp（日本語） http://www.microsoft.com/technet/security/bulletin/MS01-033.asp（英語） 現時点でリリースされている4つの修正プログラムを含む累積的な修正プログラム http://www.microsoft.com/japan/technet/security/bulletin/MS01-044.asp（日本語） http://www.microsoft.com/technet/security/bulletin/MS01-044.asp (英語） ※マイクロソフト社によるCodeRedに関する専用日本語ページ http://www.microsoft.com/japan/technet/security/codealrt.asp システム管理者の方は、このワームや他の不正アクセスの防止策としてマイクロソフトの修正プログラムを適用することをお勧めします。 このワームに感染しているかどうかやセキュリティホールとなっている脆弱性の存在をチェックする方法、あるいは、Symantec Enterprise Firewallをご使用のお客様は、後述の「追加情報」をご覧ください。 シマンテックのテクノロジーを使って.CodeRedに対処する方法については、こちら(英語）をクリックしてください。
別名: W32/Bady, I-Worm.Bady, Code Red, CodeRed, W32/Bady.worm
種別: ワーム
感染サイズ: 3569
CVE識別番号: CVE-2001-0500, CVE-2001-0506
被害状況
危険性評価グラフ
被害状況:高
ダメージ:中
感染力:中
ダメージ
感染力
CodeRed Wormは、自身のコードをHTTPリクエストとして送信します。そのHTTPリクエストは、感染先のコンピュータ上でワームを実行可能にするバッファオーバーフローと呼ばれる既知のセキュリティホールを攻撃します。悪意のあるコードはファイルとしては保存されず、メモリに侵入してメモリから直接実行されます。 このワームが実行されると、最初にC:\Notwormというファイルを探します。このファイルが存在する場合は活動を中断し、ワームのスレッドは無限スリープ状態になります。 C:\Notwormファイルが存在しない場合、新たなスレッドが作成されます。システムの日付が20日よりも前の日付の場合、次の99個のスレッドが動作し、新たな標的としてランダムに生成したIPアドレスに該当するコンピュータを攻撃しようとします。感染元のコンピュータに再度感染しないようにするために、127.*.*.* のIPアドレスにはHTTPリクエストを送信しません。 コンピュータの言語設定が「英語（U.S.)」 に設定されている場合、さらにWebページを改ざんされたような外観にします。最初に、スレッドは2時間スリープした後、HTTPリクエストに応答する関数をフックし、本来のWebページを返す代わりにワームのHTMLコードを返します。 このとき表示されるHTMLの内容は次の通りです。 Welcome to http:// www.worm.com ! Hacked By Chinese! このフックは10時間経過後に解除されますが、再感染あるいは他のスレッドによって再びフックされる可能性があります。 このワームは現在、2つのバージョンが世間一般で確認されています。2つ目のバージョンは、webページの改ざんは行いません。 また、日付が20日〜28日の間、アクティブなスレッドが米国のホワイトハウスのWebサイト（www.whitehouse.gov）に対し、サービス拒否攻撃を実行しようとします。具体的には、IPアドレスが198.137.240.91のポート80(Webサービス）に大量のジャンク データを送りつけようとします。ホワイトハウスのIPアドレスは変更され、上記のIPアドレスは現在使用されていません。 最後に、日付が29日以降の場合、ワームのスレッドは実行せずに無限スリープに入ります。このようなマルチスレッド作成によりコンピュータの動作が不安定になる可能性があります。 注意:
Symantec Security Response では、すべてのユーザと管理者の皆様に対し、基本的なオンライン・セキュリティ対策として日常的に次のことを実行することを奨励しています。
Symantec Security Response では、お使いのコンピュータの脆弱性を評価し、CodeRedワームとCodeRed IIを駆除するツールを配布しています。CodeRed駆除ツールを入手するには、こちらをクリックしてください。 何らかの理由でこのツールを利用できないか、あるいは入手できない場合は手動で駆除する必要があります。 このワームを手動で駆除するには：
追加情報: シマンテックでは、前述のワームおよび脆弱性をチェックするための幾つかのツールをオプションで提供しています。 個人のお客様：
企業・法人のお客様 :
Code Redワームはメモリ上でのみ動作し、ハードドライブに直接データを書き込むことはないため、C:\Notwormなど特定のファイルを探したり、外見が変更されたように見えるWebページのHTMLファイルを確認したりする方法では、感染しているかどうかを正確に判断することはできないことに注意してください。詳細は、前述の「テクニカルノート」セクションをご覧ください。また、ログファイル内でワームの跡を探しても確実性に欠けます。これは、コンピュータに修正プログラムを適用していた場合でも、ログファイルには過去に受けた攻撃のログエントリが残っている可能性があるためです。このように確実性に欠ける検出方法に頼るのではなく、マイクロソフト社から配布されている修正プログラムを適用することを強くお勧めします。 CodeRedワームは、HTTPリクエストを使って感染を拡大します。このワームのコードはバッファ・オーバーフローと呼ばれる既知のセキュリティホールを攻撃することで、ワームが感染先のコンピュータで実行できるようにします。このワームのコードはファイルとして保存されるのではなく、メモリに挿入され、メモリ上から直接実行されます。マイクロソフトの修正プログラムを適用し、その後、コンピュータを再起動することで、このワームおよび感染の拡大を未然に防ぐことができます。 このワームは新たな標的となるコンピュータを探すだけでなく、DoS（サービス拒否）攻撃を試みる可能性があります。また、このワームは多数のスレッドを作成し、結果的にシステムを不安定にします。 最後に、修正プログラムが適用されていないシスコ製品およびポート80で受信待機する他のサービス（ヒューレット・パッカードのJetDirectカードなど）もこのワームの攻撃に遭ったり、ポートスキャンの結果DoS（サービス拒否）攻撃が行われる可能性があります。 Symantec Enterprise Firewall追加情報 Symantec Enterprise Firewall、VelociRaptor Firewallアプライアンス、 Symantec Raptor Firewall は、「標準プロテクト」のセキュリティ設定、第三世代アプリケーション検査技術、オートマティック継続システム ハードニングなどを装備して、ご使用のネットワークをファイアウォールで確実に守るセキュリティ対策製品です。CodeRedワームの場合、ここでも「標準プロテクト」のアプローチが最近のCodeRedワームの感染拡大防止に役立つという点で、ユーザの皆様およびインターネット コミュニティのセキュリティ保護に大きく寄与します。これらのファイアウォール製品のいずれかを、公開Webサーバを外部の攻撃から防御できる場所にインストールしておけば、標準設定のまま、このワームの感染拡大を自動的に防止することができます。念のため、設定画面をダブルクリックし、サービス ネットワーク上のWebサーバが外部にWebリクエストを送信することを許可する規則が何も追加されていないことを確認することをお勧めします。このような規則の追加は一般的ではなく、ご使用のSymantecゲートウェイ ファイアウォール製品に変更を行う必要は一切ありません。 公開Webサーバをファイアウォールの「内側」のネットワーク上に置いている場合は、ご使用のWebサーバ全てに対し、Webリクエストを外部へ送信することを禁止する規則を追加することをお勧めします。通常、Webサーバは外部からWebリクエストを受けつける必要はありますが、外部へWebリクエストを送信する必要が生じることはないため、日々の運用に支障をきたすことはありません。上記のような変更を行えば、ネットワーク全体のセキュリティ強化になり、CodeRedワームの感染防止にも役立ちます。さらに、ネットワークの構成とWebサーバの展開を再チェックすることをお勧めします。最大限のプロテクションを得るためには、さらに、一般ユーザがアクセス可能なサーバすべてを内部ネットワークではなく、ファイアウォールのサービスネットワーク上に配置することをお勧めします。 さらに詳細な情報は、ドキュメント"シマンテック・エンタープライズ・セキュリティ・ソリューション、Microsoft Windows Index Server ISAPI エクステンションのSystemレベルでのリモートアクセスによって起こされるバッファオーバーフロー問題に対応"をご覧ください。 ご使用のサーバに修正プログラムが適用済みかどうかを判断できるよう、マイクロソフト社からIIS 5.0 Hotfix Checking Toolが配布されています。このツールは下記のサイトから入手できます。 http://www.microsoft.com/Downloads/Release.asp?ReleaseID=24168（英語） 影響を受ける製品に関するシスコ社の助言は下記のサイトでご覧いただけます。 http://www.cisco.com/warp/public/707/cisco-code-red-worm-pub.shtml（英語）
