「vvvウイルス」に「Joomla!」脆弱性、情報が飛び交った12月：セキュリティクラスタ まとめのまとめ 2015年12月版（1/3 ページ）

あっという間に年も明け、2016年を迎えました。昨年末のセキュリティクラスタを振り返ってみると、「SECCON 2015」開催の一方で、vvvウイルスこと「TeslaCrypt」が話題になり、感染源や対策に関する情報が盛んにやりとりされました。また12月中旬にはオープンソースCMS「Joomla!」の深刻な脆弱性が公表され、その原因をめぐって議論が巻き起こりました。

[山本洋介山（エヌ・ティ・ティ・コミュニケーションズ），＠IT]

連載目次

　12月のセキュリティクラスタでは、SECCONのオンライン予選に参加した人もたくさんいたようで、SECCON関連のツイートが多く行われていました。また、同じ時期にファイルの拡張子を「vvv」に変えてしまうランサムウェアも話題になりました。日本ではこのランサムウェアのことを知る人が少なかったせいか、あるいは実物に遭遇したという人をあまり見かけなかったせいか、当初は「実はデマなのではないか」という声も聞かれました。

　また、12月14日には、世界中に多くのユーザーがいるCMS「Joomla!」における任意コード実行が可能な脆弱（ぜいじゃく）性の情報が公表されました。脆弱性の公表と同時に攻撃コードも公開されていたことから、多数の人が攻撃コードを試したり、脆弱性の原因を探ったりしていたようです。

SECCONオンライン予選開催される

　2015年12月5〜6日には、日本最大のCTFといっても過言ではない「SECCON 2015」のオンライン予選が開催されました。2015年のSECCONは、CTF解説書の発売やオンラインで参加可能なCTFの増加という背景もあってか、参加者がより一層増えていた印象を受けました。

　オンラインでの予選は、会場に集まって行われるCTFとは違ってかなり自由な雰囲気で、予選期間中のツイートも数多く行われていました。参加者のレベルもさまざまだったようで、本当なのかライバルを出し抜くためなのかは分かりませんが、「問題が分からないので休憩した」「もう諦めた」といったツイートも見られました。

　また、もはやSECCON名物といっても過言ではない「XSS盆栽」問題も例年通り出題されました。ただ、2015年はこれまでのように大量のXSSのパターンを入力させるのではなく、画面からは何も入力できないという問題でした。とはいえ、やはりこの問題に関しては今回も賛否両論があり、Twitter上でも数多く言及されていました。

　2015年は本選優勝者に「DEFCON CTF」のシード権が与えられるという発表がなかったためか、2014年に比べると海外からの参加者が少なく、国内勢の中にもあまり真剣に取り組まなかった人がいたようです。ところが、オンライン予選が終わった後でシード権が与えられることが発表され、もっと真面目にやれば良かったと後悔している人もいました。