P前週号 | H日本語版ホーム | N次週号

TidBITS: Apple News for the Rest of Us  TidBITS#590/30-Jul-01

Mac OS X にどのような未来があるのか？Jeff Carlson は、Macworld Expo のキーノートで示された Mac OS X 10.1 について検証する。Adam と Mark Anbinder は、会場で最も興味深い製品について取材を続け、Mac OS 9.2 の地味なアピアランスについてレポートする。最後に、Jamie McCarthy は Windows の電子メールワーム SirCam について論評する。このワームは、くだらない感染の企てによる爆弾攻撃を受けることから、Mac ユーザにとっても迷惑なものだ。

記事：

Copyright 2005 TidBITS: Reuse governed by Creative Commons license
<http://www.tidbits.com/terms/> Contact: editors@tidbits.com>

本号の TidBITS のスポンサーは：

SirCam ワーム： 電子メール露出狂

文： Jamie McCarthy <jamie@mccarthy.vg>
訳： Mark Nagata <nagata@kurims.kyoto-u.ac.jp>

今週になってからずっと、SirCam 電子メールワームが私を悩ませ続けている。そう、私だけでなく、世界中の大勢の人たちを悩ませているのだ。幸いにも、私のメールソフトウェアは Mac OS X 上の Mailsmith であって、SirCam ワームは Microsoft Windows の動作する PC にしか感染しないので、私にとってはちょっとわずらわしいという程度の被害で済んでいるのだが。それでも、過去十日間に 250 通ものメールが、もっともらしい添付書類という形のワームを伴って、数多くの感染したマシンから発送されて私のマシンに送り付けられてきているのだ。１通１通がそれぞれ 200K ものサイズ（ものによってはもっと大きいものもあった）ともなれば、これはもう相当に重大なネットワークおよびディスク容量に対する浪費攻撃と言えるわけだ。

<http://wtc.trendmicro.com/wtc/>

動作原理 -- SirCam は、Windows や Windows 上の特定のプログラムの弱点をついて動作するこれまでの同種のウィルスやワームに比べて、より巧妙な動作をするようになっている。SirCam は独自の SMTP エンジンを内蔵しているので、餌食となったマシンの Windows アドレスブックに登録されているものだけではなく、そのマシン上の Internet Explorer キャッシュ内に記載されたすべての電子メールアドレスに宛ててワームを添付したメールを発送することができるのだ。つまり、私の全然知らない人のマシンでも、その人がたまたま最近私のウェブサイトを訪問したことがあるだけで、その人のマシンが感染すれば私あてに感染したメールが送られてくるわけだ。

つまり、有名な電子メールアドレスを持っている人ほど多数のワームメールを受け取ることになる、ということだ。人気のニュース・討論サイト Slashdot の“CmdrTaco”氏は 3,000 通も受け取り、しめて 600 MB ほどにもなったそうだ。［ここ TidBITS では今のところ 350 通ほどになりますが、これは TidBITS ウェブサイトがおもに Mac ユーザーのためのものであってこのワームが Macには感染しないことが原因でしょう -Adam］私自身はたった 250 通ほどしかないのでちょっとくやしいが、この数字は１人の私の大ファン、ある Prodigy のDSL ユーザーで、7 月 27 日以来毎日、１日あたり 30 通もの SirCam に感染したメールを私に送り続けてくれた人、を除外しての数字なのだ！

この Prodigy ユーザーを勘定に入れなかった理由は、私が自分でメールサーバーを作っているためにカスタムフィルターを組み込むのが簡単（私は Perl モジュールの Mail::Audit を使っている）で、彼女からのメールはすべて自動的に無視するだけでなく、Prodigy Communications 社の社長に宛ててこの大量の迷惑メールを止める方法を親切に解説した私のメールを自動的に返信するようにも設定していたのだ。そう、１日 30 回も。今のところまだ返事は来ていない。

［自前のメールサーバーを持っていなくて、あなたのインターネットサービスプロバイダが SirCam ワームをブロックするサービスもしてくれない場合、１つの方法はあなたの電子メールプログラムで 100K 以上のサイズをもつメールをスキップする設定をすることです。たとえば Eudora のようなプログラムでは、フィルターを定義して SirCam のメッセージを思われるものを検出し、それをサーバーから消去することもできます。（ただしフィルターでの自動消去には細心の注意が必要です - うまく動作していることが確認できるまでは消去は手動で行なうことをお勧めします。）SirCam のメッセージの最初の行と最後の行は常に決まった文章（英語またはスペイン語）であって、また添付書類には常に .COM, .BAT, .PIF, .LNK の４つのうちのいずれかの接尾辞が付いていますので。（詳しいことは下記のウェブページ参照。）Jamie のように自前のフィルター機能を持つメールサーバーを持っている人は、この SirCam の特性を利用して簡単にフィルターを作ることができるでしょう。われわれ TidBITSでは、上記のような接尾辞をもつ添付書類の付いたメッセージはすべて拒絶するように設定しています。ただ、このような方法での処理は、サイトの管理方針によっては難しいところもあるかもしれません。 -Adam］

<http://www.symantec.com/avcenter/venc/data/w32.sircam.worm@mm.html>
<http://www.f-secure.com/v-descs/sircam.shtml>

SirCam の感染方法は、Windows システムの動作方法、少なくとも Windows システムでのデフォルトで動作するいくつかの Windows プログラム（たとえば古いバージョンの Microsoft Outlook や Outlook Express、あるいはその他のものも可能性あり）の挙動に大いに助けられている。Windows システムはすべてのファイル名に接尾辞を要求するにもかかわらず、デフォルトではそれらの接尾辞をユーザーの目から隠しているのである。電子メールプログラムもこの点同様である。つまり、ワームが“COVERAGE OF PEARL HARBOR ATTACK.doc.bat”という名前（実際に私が受け取った実例）のバッチファイルとして到着したとしても、Outlook ユーザーの目には“COVERAGE OF PEARL HARBOR ATTACK.doc”という、バッチファイルではない無害な Microsoft Word 書類のように見えてしまうのだ。そこでこれをダブルクリックすると、ユーザーが「この書類はいったい何だ」などと考えている間にワームが PC を感染し尽くす、というわけだ。

この、いわゆる「ユーザー・フレンドリー」な接尾辞を「隠してくれる」機能（これは Mac OS X 10.1 にも装備されるということだ！）だけならばすべてのシステムに当てはまるわけではないのだが、たとえば古いバージョンの Microsoft Outlook が添付書類のダブルクリックに（セキュリティーの問題あり、という）警告を全く出さないという事実を考えただけでも、危険は充分にあると考えることができる。確かに多くの電子メールプログラムはこういった警告を出してくれる - Microsoft は 1999 年７月と 2000 年６月の２回にわたって Outlook のパッチを発表して添付書類の危険についてユーザーに警告するように修正を行なってはいるのだが、こういったセキュリティーパッチをいちいちダウンロードしてインストールする、というほどには一般ユーザーのセキュリティーへの意識は高くないのが現状なのだ。

<http://support.microsoft.com/support/kb/articles/Q235/3/09.ASP>

電子メール露出狂 -- この SirCam ワームの「クール」なところは、餌食となったマシンのデスクトップまたは“My Documents”フォルダ内にあるファイルをランダムに選んで、そのファイルを隠れ蓑に利用してメールに添付して広がることだ。つまり、私が SirCam を受け取るたびに、私は他人のハードディスクのファイルを１つ覗き見ることができるというわけだ。

普段は私は「覗き」をするタイプの人間ではないのだが、招かれざる訪問者がこんなに次々にやってくると、ちょっと覗いてみないわけにはいかなかった。結果は、今週ずっと、「他人の不幸を笑う」悪趣味な喜びに浸りつづけることとなった。添付書類を BBEdit でテキストとして読み、他人のプライベートなファイルから他人の生活を盗み見ることができた。あるものは短くてつまらないものだったが、あるものは長くておもしろいものだった。友人と IRC で成果を交換し合った。SirCam は、まったくポケモンと同じだ：“みんなつかまえろ！”

おもしろい「成果」のうちからいくつかを紹介しよう：

私はこの鉄工所に応募した人にメールを出してみた。彼女によれば、彼女自身は Microsoft 製品は使っていないが、就職を応募した鉄工所では使っているという。

ここがこのワームの恐ろしいところだ： 彼女のプライバシーの書かれた彼女の応募書類は、その鉄工所のハードディスクに何か月も前から置かれたままで、彼女にはその書類が私に送り付けられるのを防ぐ手だては全く無いのだ。私がメールで彼女に知らせなかったら、彼女としては永久に知る由もなかっただろう。

正直言って、私のメールボックスが多少混雑したところで私にはどうということはない。私はケーブルモデムを使っているし私のサーバーでフィルターもかけられるのだから。しかし、いくら私が気をつけて Microsoft 製品を使わないようにしていても - サーバーには Linux、ファイヤウォールには OpenBSD、デスクトップには Mac OS X を使っていても - それでも私のプライバシーは危険にさらされているのだ。私の友人の多くは Windows を使っている。＿彼ら＿は、信用できる人たちだから、私はこれまで安心してプライベートな情報も彼らと分け合ってきた。でもこれからは、私には彼らのコンピュータを信用することができない。私や彼らがいくら注意をしていても、あの安全性を顧みない独占文化の Windows や Outlook のおかげで、いやおうなしに露出狂にされてしまうのだから。

SirCam は、また更なる危険性もはらんでいる - 10 月 16 日には、20 分の 1 の確率で、感染したハードディスクのすべてのファイルを消去するし、またどんな日にも、50 分の 1 の確率で、感染したハードディスクの空きを埋め尽くす。これよりずっと脅威の大きいワームもこれまでに存在していたが、何と言っても SirCam が恐ろしいのはわれわれのプライベートな情報をランダムに世界に向けて公表してしまうことだ。この危険を心にとめて、われわれ個人ユーザーは日常のコンピュータ使用にもっと注意を心掛けたいし、ソフトウェア会社には、ただユーザーを保護するだけではなくてユーザー自身が解決に向けての積極的な役割を果たすことができるような、そういうプログラムの開発をお願いしたい。

tb_badge_trans-jp2

非営利、非商用の出版物およびウェブサイトは、フルクレジットを明記すれば記事を転載またはウェブページにリンクすることが できます。それ以外の場合はお問い合わせ下さい。記事が正確であることの保証はありませ ん。書名、製品名および会社名は、それぞれ該当する権利者の登録商標または権利です。TidBITS ISSN 1090-7017

Valid XHTML 1.0! , Let iCab smile , Another HTML-lint gateway 日本語版最終更新：2005年 12月 26日 月曜日, S. HOSOKAWA

P前週号 | H日本語版ホーム | N次週号