日本では見かけないポート番号のスキャンを確認――JPCERT/CC

4月から6月のセキュリティインシデント状況を総括

　7日、JPCERTコーディネーションセンター（JPCERT/CC）は、4月から6月にかけての四半期に発生した情報セキュリティインシデントの発生状況の統計情報などを発表した。

　まず「JPCERT/CC インシデント報告対応レポート」によれば、4月から6月にかけてJPCERT/CCに寄せられたインシデント報告の件数は3,113件となり、タイプ別にみるとマルウェアサイトに関する報告が1,478件、Webサイト改ざんに関する報告が561件、フィッシングサイトの報告が388件となっている。このうちWebサイト改ざんについては、いわゆるGumblarウイルスによる攻撃とのことで、その攻撃手法が変化し続けているという。

　4月にはOracleのJDK、およびJREに対する未修正の脆弱性をつく攻撃が確認され、6月にはWindows XP/2003に含まれるヘルプとサポートセンター機能に対する未修正の脆弱性を利用した攻撃も確認されたとして、Gumblarウイルスがゼロデイ攻撃を活用している実態が述べられている。また、改ざんされたサイトにアクセスしたユーザーが、DDoS攻撃を行うマルウェアに感染させるパターンも確認されたとしている。

　Gumblarに関係する攻撃ではないが、5月には、韓国のサイトにアクセスするマルウェアを添付した日本語のメールを確認し、韓国のISP、KrCERT/CCと協力して当該サイトを停止させている。

　同時に公開された｢JPCERT/CC活動概要｣では、インターネット定点観測システム（ISDAS）の結果も報告されており、ポート番号別のトラフィックを集計し分析している。これにより脆弱性探索のポートスキャンなどの状況の参考になることがあるそうで、この1年では、9415/TCPという日本ではあまり使用されていないポート番号へのスキャンが増加傾向にあるという。このポートは、中国に利用者が多いと考えられているProxyソフトが利用している番号だという。アクセス制御が適切でない場合、このProxyソフトが動作しているコンピュータを経由した攻撃の可能性が考えられると、報告書では述べている。

インシデントのタイプ別ではマルウェアサイトによる被害が最も多かった
（「JPCERT/CC インシデント報告対応レポート」より引用）

　
【関連リンク】
・JPCERT/CC インシデント報告対応レポート［2010年4月1日～2010年6月30日］（PDF）
・JPCERT/CC活動概要［2010年4月1日～2010年6月30日］（PDF）