"Gumblar"(通称GENOウィルス)に見るセキュリティ問題

Gumblarとは、国内では通称GENOウィルスと呼ばれているマルウェアで、バックドアに分類されます。名の由来は悪意のあるコード配布に使われたドメインが「gumblar.cn」であったためです。現在gumblar.cnは応答ありませんが、別ドメインに移り今も尚コード配布が続いています。(Via. 'Gumblar' attacks spreading quickly - CNET.com)

Adobe Acrobat及びFlash PlayerのJavascript機能の脆弱性をついたマルウェアで、customDictionaryOpen()とgetAnnots()の機能を利用したものです。(Via. Adobe Reader8.1.4および9.1にJavaScript関連の脆弱性 - Jacques Log)

現在は対応パッチも公開され、多くの著名セキュリティソフトも対応済みとなり、徐々に鎮静化していく見通しでした。ですが、早くも亜種(発展型)が登場しており、今も尚注意が必要です。

当マルウェアに関しては有志の方々により情報が集まったまとめサイトが、非常に素晴らしい出来になっておりますので、ご不安な場合には是非参考にしてください。

現在の対応ポイントは、ワクチンソフトを最新の状態で保つ、Adobe Reader/AcrobatおよびFlash Playerのバージョンを最新にする、となります。

今日現在での最新バージョンはAdobe Readerは9.1.1、Flash Playerは10.0.22.87になります。Flash Playerのバージョン確認方法は先述のまとめサイトにもございますが、他の方法としてはAdobeのサイトでチェックすることもできます。

さて、今回問題となったGumblarですが、どうしてここまで問題が大きくなったのでしょうか。

ひとつは感染経路です。問題のあるサイトを対策せずに閲覧するだけで感染してしまうため、危険はすぐ目の前にあります。

そしてもうひとつ。Adobeのこれまでの対応や、パッチの提供方法にも問題があったのではないでしょうか。

まず、今回の例で言えば国内で大きく話題になったのが4月のはじめ頃でパッチ提供が5月中旬と、対応に1ヶ月かかってしまったこと。言い方を変えれば、1ヶ月間ユーザが危険な状態にさらされていたのです。その前の3月に配信されたAdobe Readerのパッチ(9.0→9.1)では脆弱性の悪用が報告されてから、実に2ヶ月経過した後でした。

そして、Microsoft Updateのように自動更新機能や通知機能が備わっておらず、Adobe Readerでは起動することが無ければ更新通知されることも無く、Flash Playerにいたっては自身のPCにインストールされたバージョンを確認する手段すらも明確で無いこともあり、古い(脆弱性が放置された)バージョンのままユーザが気づかないことも想像できます。

今回Adobeはセキュリティへのアプローチを変更する見通しだとのことですが(Via. アドビ、四半期毎に定例パッチを配信へ - CNET Japan)、果たしてどうなるか注目です。

体制の見直しは大きな期待をしておりますが、セキュリティ対策としては「如何に危険にさらされる時間を短縮できるか」が最大のポイントとなるため、CNET掲載の4半期毎の定例パッチという記事を読んだだけでは不安が残ります。(後ほど原文のブログをゆっくり読んでみます)

では、記事中のF-Secureの見解のように、Adobe Readerの使用をやめることは妥当な対応となるでしょうか。

まず、Adobe Readerに代わる製品のうち、人気のある著名なものをいくつか紹介いたします。

• Perfect PDF Reader
• Foxit Reader
• PDF-XChange Viewer

どれも高速性がうりで、Adobe Readerよりも快適に起動、ページ送りができることが特徴となっております。この中でもFoxitは特に高速で、Perfect PDFは速度面で他の2つよりは少々見劣りしますが機能が多く、PDF-XChangeはタブ型と、それぞれ特徴があり結論としては3製品とも人気が高いです。

では改めて、これら代替品であればセキュリティ面で大きな改善を得られるでしょうか。

実は微妙なところです。

これらにも脆弱性報告がされることがあるためです。例としては今年の3月にFoxitで脆弱性修正がなされています(Via. PDFビューワー「Foxit Reader」v3.0とv2.3に複数の脆弱性、最新版で修正済み - 窓の杜)。さらに、Adobe Readerに比べれば、まだユーザも多くないためそういった情報を収集するのに苦心する場面もあるのではないでしょうか。情報を得るのに苦心するようでは、今までのAdobe Readerでの事例と大差ありません。

結局のところ、セキュリティの観点で「絶対安全はあり得ない」ということにつきます。

不安を煽りたくはありませんが、ユーザが定期的に情報収集をし、現状がベターなのか評価するようにしていただきたいと思います。

今後は私自身も可能な限り得た情報をエントリしていきたいと思います。どうぞ今後ともよろしくお願いいたします。

Special Thanks ： GENOウイルス (著者：朝之丞)