新年早々脆弱性と謎解きメールに右往左往：セキュリティクラスタまとめのまとめ 2013年1月版

2013年の年明けは、脆弱性ではなく、自称「遠隔操作ウイルス事件の犯人」からの手紙で慌ただしく幕を開けました。

» 2013年02月12日 18時00分公開

[山本洋介山，＠IT]

　Internet Explorer（IE）の脆弱性が解決されないまま年の瀬を迎えましたが、セキュリティクラスタの2013年の年明けは、脆弱性ではなく、遠隔操作ウイルス事件の犯人からの手紙で慌ただしく幕を開けました。犯人によってメモリカードを取り付けられた、猫のゆたかくんのことが忘れられそうになったころに、Java 7の脆弱性が公開されてまたまた大騒ぎ。そしてやはり、今年になっても怪しいAndroidアプリが注目を集め続けそうな予感がする、そんな2013年最初の1カ月でした。

Java 7の脆弱性で新年早々大慌て

　1月10日ごろからJava 7の脆弱性が公になり、攻撃実証コード（Exploit）も公開されているということで大騒ぎになりました。しばらくゼロデイ攻撃におびえる日々が続きましたが、ほどなく14日にはオラクルからアップデートが公開されました。

Java Zero Day Exploitのデモ動画が既にいくつか公開されています。youtube.com/watch?v=r3LnsC… youtube.com/watch?v=jyLAUE… youtube.com/watch?v=GLgz-y…
— 北河拓士 KITAGAWA,Takujiさん (@kitagawa_takuji) 2013年1月11日

　……と、これで収束すればよかったのですが、このアップデートが、複数ある脆弱性のうちのどれに対応しているかが明確ではなかったため、これですべ安全になったのか、実はまだ危険性を残しているのか、混乱を招く結果となりました。タイムライン（TL）でも情報が錯綜していました。

　結局のところ、今回の修正では、ちまたに出回っているExploitでは攻撃は成功しなくなるため、ひとまず防御にはなります。しかし、すべての脆弱性が修正されているというわけではなかったようです。別の攻撃方法によって攻撃されてしまう可能性はまだあり、必要がないならば引き続きWebブラウザのJavaプラグインを無効にして、Javaを使用しない方がいいとのことです。

　米国国土安全保障省ではJavaプラグインの無効化を推奨しています。ただ、IPAの提供するMyJVNバージョンチェッカやiLogScannerについてもJavaが使用されているためか、IPAでは無効化を推奨していないのも気になるところですね。

Java 7 Update 11で修正された２つの脆弱性（CVE-2013-0422とCVE-2012-3174）の間にある関係について詳細が分かったので追記しました。なんたるややこしさ。 did2memo.net/2013/01/15/jav…
— did2さん (@did2memo) 2013年1月16日

続）十分な知識があれば未修正の脆弱性だけを利用したexploitを作成できる可能性もある。とのことだと思うが、完全に修正するために修正版のリリースが遅れるよりは、これだけの短時間で修正版を出してきたことの方を評価すべきでは？
— 北河拓士 KITAGAWA,Takujiさん (@kitagawa_takuji) 2013年1月15日

　その他、IE 6～8についても2012年末にゼロデイ攻撃が行われている脆弱性が公表されたものの、年が明けた1月の月例パッチでも修正されませんでした。当面の対策は「使用しないこと」と身もふたもない方策となったため、頭を抱えた人も多かったようです（その後、1月15日の緊急アップデートで修正プログラムが配布されました）。

【関連記事】

Oracle、Javaのアップデート公開

http://www.atmarkit.co.jp/ait/articles/1301/15/news082.html

セキュリティ攻撃阻止のためにWebブラウザでJavaを無効化する

http://www.atmarkit.co.jp/ait/articles/1301/18/news092.html

マイクロソフト、IE 6～8のゼロデイ脆弱性を修正

http://www.atmarkit.co.jp/ait/articles/1301/15/news088.html

遠隔操作ウイルス事件犯人からのメールで新年早々大騒ぎ

　1月1日、まだ夜も明けないうちに、自称「遠隔操作ウイルス事件の犯人」から謎解きを持ちかけるメールが送られて、TLは正月早々大騒ぎになりました。

編集部注：警視庁などの合同捜査本部は2月10日、遠隔操作ウイルス事件に関連し、威力業務妨害の疑いで東京都江東区の男性を逮捕しました。この件に関する反響は、次号お届けする予定です。

　問題は全部で5問あったようですが、CTFで鳴らした猛者どもにとっては簡単だったようで、夜が明ける前に早くも何人かが解き終えました。たくさんの人が、回答に示された「雲取山」という場所にあったUSBメモリを探しに向かいましたが、結局、埋められたというUSBメモリは見つからなかったようです。

遠隔操作ウイルスの作者からと思われる問題にチャレンジしてみた。 - n.pentest.jp/?p=24997
— 辻伸弘 (ıɾnsʇ oɹıɥnqou)さん (@ntsuji) 2012年12月31日

今朝のCTF１時間もかからずに解けたけど、最終目的地が遠くていけない。
— luminさん (@lumin) 2013年1月1日

　その後、誰にも発見されないことにイライラしたのか、1月5日に再度「自称犯人」からメールが送られてきます。このときは問題も3問に減り、前回同様、猛者によって簡単に解かれてしまいます。

　その結果、2回目のゴールであるmicroSDカードは、犯人が「ゆたかくん」と名付けた江ノ島の地域猫にくくり付けられていることが判明。5日朝からたくさんの人が江ノ島に向かったようでした。

　今回は無事に（？）猫とmicroSDカードが回収され、中にはiesys.exeのソースコードが入っていたようです。それだけではなく、警察への恨み言や「もうこれ以上発信はしない」とのメッセージも入っており、実際にこの後、犯人と名乗る人物からの動きはありません。

とりあえず遠隔操作の犯人の問題を解いたので帰って寝る。明日行ってきますか。
— luminさん (@lumin) 2013年1月4日

「ちゃんと登山口から登頂したのにオオカミ少年みたいに思われているのが不本意。」って、あのなー。
— 落合洋司さん (@yjochi) 2013年1月4日

　江ノ島の防犯カメラに写っていた怪しい人物は20～30歳代ということでしたが、出題された問題の中には、10年前に流行したソフトやアニメが題材になっている問題があったため、「犯人はそれほど若くないのではないか」とTLでは推測されていました。

ネットエージェントの専門家がおもろいこと言ってた。「ラブマシーンソフトを最近手に入れたログを見ればいい」だって。
— 光輝さん (@koukiwf) 2013年1月7日

【関連リンク】

遠隔操作ウイルスの真犯人が手がかりを預けた！？ゆたかくん写真まとめ – NAVER まとめ

http://matome.naver.jp/odai/2135734795387491301

編集部注：この記事は2月初めに執筆されました。繰り返しになりますが、遠隔操作ウイルス事件の容疑者逮捕に関する反響は、次号お届けする予定です。

「全国共有電話帳」という謎のアプリが話題に

　2012年から、勝手にユーザーの電話帳のデータを盗んだりするAndroidの偽アプリが話題となっていますが、1月には、自分の電話帳データをネットで共有する「全国共有電話帳」という謎のアプリが話題となりました。

　このアプリは、ハローページとタウンページに掲載された情報に加え、利用者の電話帳の情報を勝手に抜き取って、利用者間で閲覧できるようにすることで話題となっていたアプリ「全国電話帳」を頒布していた「鳥取ループ」の手によるものです。全国共有電話帳は、「2800万件を超える電話帳データベースからさまざまな情報を検索できる」という触れ込みですが、やはり、端末内の電話帳データとGPS情報が利用されるということです。

　電話帳データの共有にはユーザーの許諾を得るとしていますが、「自分の個人情報を勝手に共有されかねない」と、多数のTwitterユーザーから反発を受けました。

公刊の電話帳に載せてない電話番号とか、個人間で伝える相手が一般には公開しないであろうという社会的期待はあるわけだよ。特に携帯電話番号。「全国共有電話帳」はそこをぶち壊しにかかる意図が明白。利用者が不法行為を働くことを前提にしてるわけで、そんなの少なくとも民事的にはクロでしょ。
— SAKIYAMA Nobuo/崎山伸夫さん (@sakichan) 2013年1月19日

>全国共有電話帳　何が絶望的かって、自分が引っかかるとか引っかからないとかの問題ではなく、僕の携帯電話の番号を知っている数百人のうち、一人でも「バカ」がいればそれで即アウト（僕の携帯番号・メアド等が誰でも検索可能になる）っていうのがもう絶望的。迷惑メール、勧誘電話の洪水やで。
— ジロウさん (@jiro6663) 2013年1月20日

　とはいえ、このアプリを公開した「鳥取ループ」という団体は、「偽アプリをインストールさせて他人の電話帳をだまし取ろうという意図で公開しているわけではない」と主張しており、争点がややこしくなっています。あくまで「日本の個人情報保護制度や機密管理、ソフトウェア規制の枠組みのバカバカしさを表現しているツールで、ユーザーの許諾も取っているから問題ない」と主張しており、多数のTwitterユーザーからの抗議を聞き入れる気配はまったくありません。