コンピュータワーム.

コンピュータワームは、ネットワークサービスや開放共有、未パッチの脆弱性を悪用してホストプログラムに依存せず自分自身をシステム間でコピーするマルウェアである。回線を飽和させたり、サービスを劣化させたり、ランサムウェアやバックドアなどの二次ペイロードを投下したり、インターネットに直接公開されていない内部システムにまで到達する場合がある。

ワームの拡散のしくみ。 ワームは到達可能なホストをスキャンし、各ホストに対してエクスプロイトや認証情報のセットを試し、同じサイクルを繰り返すコピーを設置する。脆弱なホスト群が尽きるか、スキャン通信でネットワークが崩壊するまで、その増殖は指数関数的に進む。2003 年の SQL Slammer ワームは、SQL Server 2000 Resolution Service のバッファオーバーフロー(6 か月前に MS02-039 で修正済み)を、ポート 1434 宛ての 376 バイトの単一 UDP パケットで悪用した。感染ホスト数を約 8.5 秒ごとに倍増させ、数分のうちにインターネットの広範囲をオフラインに陥れた。Conficker(2008)は MS08-067 の RPC 脆弱性を、USB の自動実行や共有に対する辞書攻撃と連鎖させ、数百万台規模のボットネットを構築した。WannaCry(2017)は流出した SMBv1 向けエクスプロイト EternalBlue(MS17-010)をランサムウェアと融合させ、Stuxnet は感染した USB ドライブを介してエアギャップを越え、イランの遠心分離機の制御装置に到達した。

防御策としては、ネットワークに公開されたサービスの迅速なパッチ適用、レガシープロトコル(SMBv1、脆弱な RDP)の無効化、横方向の到達性を断ち切るためのネットワーク分離、送信(egress)フィルタリング、外向きスキャン通信のレート制限、および異常な東西方向の接続拡散の検知が挙げられる。

flowchart LR
  A[感染ホスト] --> B[脆弱なサービスを求めて<br/>ネットワークをスキャン]
  B --> C{標的は<br/>脆弱か?}
  C -->|いいえ| B
  C -->|はい| D[エクスプロイト / 脆弱な認証情報]
  D --> E[ワームを標的にコピー]
  E --> F[新しいホストがワームを実行]
  F --> B
  E --> G[二次ペイロードを投下<br/>ランサムウェア / バックドア]