各位

JPCERT-AT-2004-0002
JPCERT/CC
2004-04-06

JPCERT/CC Alert 2004-04-06

Netsky.Q のサービス運用妨害攻撃に関する注意喚起

Threat of Netsky.Q DDoS Attack

http://www.jpcert.or.jp/at/2004/at040002.txt

I. 概要

電子メールを介して拡散するコンピュータウィルス Netsky.Q による感染の被害が日本国内で多数報告されています。このウィルスに感染したホストは特定のサイトに対して分散型サービス運用妨害 (DDoS) 攻撃を行なう可能性があります。

Status Tracking Note TRJVN-2004-01
W32/Netsky.Q ウイルス
http://jvn.doi.ics.keio.ac.jp/tr/TRJVN-2004-01.html


II. 予防および対処方法

Netsky.Q は、自身の複製を電子メールに添付して拡散し、その添付されたファイルをユーザが Microsoft Windows 上で実行することで感染します。更に送信元アドレスが詐称されていることから、たとえ送信元アドレスが信頼のおけるものであったとしても、電子メールに添付されたファイルを開く前に、必ず最新の検索エンジンとパターンファイルに更新したウィルス検知ソフトで感染の有無を確認してください。ウィルスに感染したファイルであることが確認できた場合は、開かずに削除してください。

しかし、2001年に Microsoft が公開した Internet Explorer の修正プログラム MS01-020 が適用されていないシステムでは、対象となる電子メールを閲覧しただけで Netsky.Q に感染する可能性があります。これは、HTML 形式の電子メールの表示に Internet Explorer の機能を使用するメールクライアントソフトウェアを用いた場合に起こります。

修正プログラム MS01-020 が適用されているか否かを改めて確認することを強くお勧めします。確認方法などの詳細は以下のページをご参照ください。

マイクロソフト セキュリティ情報
不適切な MIME ヘッダーが原因で Internet Explorer が電子メールの添付ファイルを実行する (MS01-020)
http://www.microsoft.com/japan/technet/security/bulletin/MS01-020.asp

なお、既にシステムが Netsky.Q に感染しているか否かは、最新の検索エンジンとパターンファイルに更新したウィルス検知ソフトで確認してください。もし感染していた場合は、ワクチンソフトウェアベンダが配布している修復ツールを使用するなどして復旧してください。詳細は以下のページをご参照ください。

情報処理推進機構：セキュリティセンター
「W32/Netsky」ウイルスの亜種（Netsky.Q）に関する情報
http://www.ipa.go.jp/security/topics/newvirus/netsky-q.html


III. Netsky.Q による DDoS 攻撃について

Netsky.Q に感染したホストは、ホストのシステム時刻が 4月8日から 4月11
日の間にシステムを起動 (または再起動) した場合に以下のサイトに対して、サービス運用妨害 (DoS) 攻撃を行なうことが報告されています。

- www.edonkey2000.com
- www.kazaa.com
- www.emule-project.net
- www.cracks.am
- www.cracks.st

自サイト内のホストが攻撃に加担することを防ぐために、自サイト内のホストが Netsky.Q に感染していないかどうか、改めて確認することを強くお勧めします。


今回の件につきまして当方まで提供いただける情報がございましたら、ご連絡ください。

==============================
JPCERT コーディネーションセンター (JPCERT/CC)
TEL: 03-3518-4600 FAX: 03-3518-4602
http://www.jpcert.or.jp/