LNKエクスプロイトに関するその後の分析 - ITmedia エンタープライズ（情報元のブックマーク数）

IT セキュリティ

LNKのExloitが出ているそうで、SCADAシステムを標的にしているとの事。実際にrootkitが落ちるみたいだがRealtekのシグニチャが使用されているとの事・・・

Windowsショートカットに存在する、これまで知られていなかった欠点を利用することでUSBストレージデバイスを介して広がる、新たな脅威が登場した。
われわれは同ショートカットLNKエクスプロイトの検出を「Exploit:W32/WormLink.A」として追加した。このケースで使用されるショートカットファイルは4.1Kバイトだ。Trojan-Dropper、バックドア、ルートキットと結びついたファイルは、Stuxnetファミリーとして検出される。
われわれは昨日、2つの興味深い点に言及した。同ルートキットが署名されているという点、SCADAシステムを標的としているという点だ。
同ルートキットコンポーネントは、デジタル署名されており、われわれは有効なRealtek Semiconductor社のシグネチャが使用されていることを確認した。Trojan-Dropper自身は、デジタル署名をコピーしようとするだけなのに対して、ドロップされるドライバは適切に署名されている。

LNKエクスプロイトに関するその後の分析 - ITmedia エンタープライズ

回避策の設定

As I’ve used Software Restriction Policies (SRP) on several occasions in my blogposts, and several people have suggested using SRP to protect against .LNK exploitation as an alternative to Ariad, I’ll describe how to configure SRP for the first time on a workstation that is not a member of a domain. For domain members, you have to configure SRP in the GPO on the domain controller.

Mitigating .LNK Exploitation With SRP | Didier Stevens

FixITが出ているそうです。

Windowsのショートカット処理に関する未解決の脆弱性が見つかった問題で、米Microsoftは7月20日付でセキュリティアドバイザリに新たな情報を追加するとともに、当面の攻撃を食い止めるための一時的な措置を自動的に実装できる「Fix It」機能の提供を開始した。
脆弱性はWindows Shellでショートカット（.LNK）を処理する際の問題に起因する。この問題を突いた攻撃の手段として、不正な.LNKファイルをUSBメモリなどのリムーバブルメディアに仕込んだり、WebDavやネットワーク共有を利用する方法が挙げられていた。
改訂版のアドバイザリーではさらに、Microsoft Officeなどショートカットの組み込みに対応した文書に悪用コードを仕込む手口も使われる可能性があることを明記した。

MSが未解決の脆弱性問題で「Fix It」を提供――攻撃の回避措置を自動実装 - ITmedia エンタープライズ

FIX itを適用するとスタートメニューのアイコンが白くなるそうだ。

マイクロソフトは2010年7月21日、Windowsに見つかった新しい脆弱（ぜいじゃく）性を悪用されないようにするツール「Fix it」を公開した。ショートカットファイルのアイコンを表示しないようにして、脆弱性の悪用を防ぐ。スタートメニューなどのアイコンが白くなるといった“副作用”が発生するので注意。元の状態に戻すためのツールも公開されている。

Windowsの「ゼロデイ脆弱性」に回避策、ただし“副作用”に注意 | 日経 xTECH（クロステック）

関連URL

screenshot