いまだ進化を続ける「Storm」ワーム：ITpro

Stormワームで使うドメインが既に監視されているそうです。

さまざまなセキュリティ関連組織が「Storm」ワームによるボットネットの規模縮小を報告したばかりだというのに，新たな拡散の波が起きそうな兆候に気付いた。我々は現在，トロイの木馬「Trojan.Peacomm」（Stormの別名）に関与している，「Fast-Flux」（関連記事：攻撃の高度化，「Fast-Flux」から「RockPhish」まで――その1）という攻撃手法を使う複数のドメインを監視している。これらのドメインは数日前に登録されたばかりで，アクセスしても空白ページしか表示されない。ただ，あるファイルにアクセスするように各ドメインのURLを変えてみると，種々のセキュリティ・ホールに攻撃を仕掛けるスクリプトが作動する。

売れないのかな？実際にドメインはまだ悪用されていないとの事。

興味深い点は，攻撃用ドメインにユーザーをおびき寄せるスパムがまだ見当たらないことだ。これは非常に珍しい状況である。さらに，マルウエアを拡散させる方法が従来の単純なソーシャル・エンジニアリングから，実際にセキュリティ・ホールを攻撃する手法に変化した点も興味深い。これまでの手口を踏襲するなら，Stormの作者はWebサイトやスパム・メールからマルウエアに直接リンクを設けていただろう。そして，リンク先のマルウエアは，パソコンへの感染を試みる際，セキュリティ・ホールが実際に存在するかどうか確認しなかったものだ。

---