IE8の脆弱性を悪用したマルウェアに注意！
==================================
最近、韓国で北朝鮮との安全保障問題への関心が高まっている。
これに関連し、政治的な目的なのか、それとも安全保障に関する議論を悪用する為なのか分からないマルウェアが、安全保障を研究するWebサイトから流布されていることが確認され、注意が呼びかけられる。以下は、収集された悪性スクリプトの一つである。分析を難しくする為にスクリプトが難読化されている。
<図1 アイコン画面>
難解なスクリプトをデコードすると、以下のような悪性スクリプトが確認された。
最新の脆弱性であるMS13-038（Internet Explorerの脆弱性によるリモートコードの実行問題）を悪用し、最新のWindowsアップデートをしていないユーザーのIEブラウザで、drive by downloadの形でマルウェアを感染させるのである。
<図2 デコード後のコード>
<図3 MS13-038（IE8の脆弱性）＞
★MS13-038
Microsoftの調査によると、Internet Explorer８のバージョンには、メモリ競合によるリモートコードの実行が可能なゼロデイ脆弱性が存在し、Internet Explorer 6、Internet Explorer 7、Internet Explorer 9およびInternet Explorer 10は、この脆弱性の影響を受けない。
この悪性スクリプトは、台湾にあるシステムにアップロードされていることが確認された。
<図4悪性スクリプトのアップロード位置>
IEを使用しているユーザーが多く、また最近発覚した脆弱性を悪用し、感染するケースが少なからず発生すると見られる。さらに、韓国内の安全保障関連サイトでこのようなマルウェアが発覚されていることから、より慎重に扱われる可能性がある。感染を予防する為には、Windowsおよびインストールしたセキュリティ対策ソフトを常に最新バージョンに更新することを推奨する。
AhnLabのV3製品群では、次のように検知・駆除することが可能である。
- JS / Shellcode（2013.05.23.00）
