米トレンドマイクロは2011年9月19日、日本や米国などの防衛産業企業を狙った標的型攻撃が相次いでいることを報告した。攻撃では、Adobe ReaderやFlashの脆弱性を突くコンピューターウイルスを使用するという。同社では8社が被害に遭ったことを確認。同日にウイルス感染を公表した三菱重工業が含まれている可能性が高い。

　トレンドマイクロでは、攻撃に使われたファイルのサンプルを入手し、その分析結果を公表した。同社によると、一連の攻撃には、細工を施したPDFファイルが使われているという。PDFファイルはメールに添付されて送られてくる。

　PDFファイルには、古いバージョンのFlash PlayerやAdobe Readerの脆弱性を悪用する仕掛けが施されている。古いFlash Playerなどがインストールされたパソコンでこのファイルを開くとウイルスが生成されて動き出し、攻撃者が用意した“指令サーバー（C＆Cサーバー）”に接続。ウイルスは自分自身の情報をいくつか送信した後、攻撃者からの命令を待ち受ける。

　感染に“成功”したことを知った攻撃者は、感染パソコンに関連する情報を送信するようウイルスに命令を送る。具体的には、感染パソコンが接続しているネットワークの情報や、パソコンに保存されているファイルの名前などを送信させる。

　その後、ウイルスに別のウイルスをダウンロードさせてインストールさせる。インストールさせるのは、「RAT（Remote Access Trojan）」と呼ばれるウイルスの一種。RATとは、感染パソコンを乗っ取り、遠隔から操作できるようにするウイルス。一連の攻撃で使われているのは、「MFC Hunter」と呼ばれるRATだという（図1）。

　RATに感染させると、攻撃者は、そのパソコンを自由に操れるようになる。指令サーバーを通じて、特定の命令を定期的に送信することが可能だ。RATに直接接続し、リアルタイムで操作することもできるという。

（日経パソコン　勝村幸博）

[PC Online 2011年９月20日掲載]