「LZHファイルに注意」 解凍ツールの脆弱性をついたウイルス発見

シマンテックは解凍ツール「Lhaca デラックス版」などの脆弱性をついたLZHファイルが発見されたと発表した。

　シマンテックは解凍ツール「Lhaca デラックス版」などの脆弱性をついたLZHファイルが発見されたと発表した。このLZHファイルの実行が成功した場合、Windowsのバックドアが開かれてしまうという。

　脆弱性が発見された解凍ツールは「Lhaca デラックス版バージョン1.20」。ただしシマンテックでは「少なくとも（Lhaca デラックス版が該当した）」としており、他の解凍ツールでも同様の脆弱性がある可能性がある。

　問題のあるLZHファイルの内部には、「シェルコードに似たコードブロック」「暗号解読用コード」「エンコードされた実行ファイル」などが含まれており、このアーカイブ自体は「Trojan.Lhdropper」として検出される。このファイルの実行に成功すると、下記の現象が起きる。

• 日本語版Windows XP上で実行に成功した場合、WindowsのSystemsフォルダに設置されたバックドアが開かれる。
• 同時に別のLZHファイルが作成され、無害な一太郎ドキュメントがあたかも解凍してできたかのように作成される。これにより、ユーザーは解凍が無事成功したと誤認してしまう。

　この脆弱性は文字列長の確認を適切に行わないstrcpy()の呼び出しが原因。重要なスタックメモリーが上書きされ、制御がシェルコードに移行し、実行されてしまう。発見されたLZHファイルには、これらを実行するコードが2つ含まれており、実行可能性を高める工夫がされていたという。

Symantec Security Response Weblog: Beware of LZH