Microsoft、攻撃に使用される可能性のある古いバージョンのTorをWindowsマシンから削除

taraiok のタレこみより。 マルウェアがボットネットのC&Cサーバーへの接続に使用していた古いバージョンのTorを、MicrosoftがWindowsマシンから削除していたそうだ(Technet Blogsの記事、 The Daily Dotの記事、 本家/.)。

Torのユーザー数は昨年8月19日以降急増し(/.J記事1)、およそ2週間で400万ユーザー増加していた。原因はマルウェア「Sefnit」の新バージョンにTorが追加されたことが原因とみられ(/.J記事2)、Microsoftは同社のセキュリティー製品向けパターンファイルに新バージョンのSefnitを追加。SefnitがインストールするTor自体には攻撃用のコードなどは含まれていないが、脆弱性のある古いバージョンであり、Sefnitが削除されても他の攻撃に使用される可能性があるという。そのため、Microsoftでは10月27日に該当バージョンのTorをパターンファイルに追加して削除を開始。11月12日には「悪意のあるソフトウェアの削除ツール」での削除も開始したとのこと。この情報は他のアンチウィルスベンダーなどとも共有しているが、12月末時点でも200万ユーザー程度がSefnitのインストールした脆弱性のあるバージョンのTorでTorネットワークに接続しているとのことだ。

トレンドマイクロが

[i_i (22332)]

B-CAS絡みの書き換えツールをマルウェア扱いして削除 [srad.jp]、という話を思い出しました。
今回のマイクロソフトも、Tor利用者のIPアドレスや諸々の識別情報を入手できるわけですね。

うーん………

[Anonymous Coward]

日本のセキュリティレスポンスチームからの説明で言うと、2013年11月で新たに加わった悪意のあるソフトウェアの削除ツールで加わったのは

新たに対応したマルウェア
•Win32/Deminnix
•Win32/Napolar

なんで、torの一部を削除するという情報はつい最近まで伏せられていた………のかな？

この情報は他のアンチウィルスベンダーなどとも共有しているが、12月末時点でも200万ユーザー程度がSefnitのインストールした脆弱性のあるバージョンのTorでTorネットワークに接続しているとのことだ。

って言うのはMAPP [microsoft.com]だと思うんですが………

Re:

[Anonymous Coward]

Knowledge Baseにある悪意のあるソフトウェアの削除ツール [microsoft.com]によれば、2012年1月にsefnitを検知する対応が入っているようです。Malware Protection CenterにあるWin32/Sefnit [microsoft.com]のページは動向を捉えるための情報更新が行われているようです。
MRTはマルウェアの検出に対応するだけでなく新たな検出方法が判明すればその都度変更をしていくでしょうから、Sefnit検出/削除への改良の過程で古いTorを削除することにしたのかもしれません。

微妙な問題だけど

[Anonymous Coward]

10月に削除開始で、今まで問題になっていないってことは、まあ別にいいんじゃないの。
詳細は不明だけど、ユーザーがインストールしたものとはインストールされた場所等で区別がつくとかかな。

しかし、

>12月末時点でも200万ユーザー程度がSefnitのインストールした脆弱性のあるバージョンのTorでTorネットワークに接続しているとのことだ。

これは、ネットワークにつながっているのにWindows Updateを入れていない人数ってことだな。なにをやってるんだか。

Re:

[Anonymous Coward]

それはちょっとうがち過ぎじゃないかな？「悪意のあるソフトウェアの削除ツール」を除外してる可能性もあるなｄし

この理屈でいくと

[Anonymous Coward]

サポート期限の切れたXPも悪意のあるソフト駆除ツールで削除されることになるのでは？
Windowsアップデートすると二度と起動しなくなるとか
http://www.rubyist.net/~matz/20050420.html#p02 [rubyist.net]

Re:

[Anonymous Coward]

世界の95%のATMを稼動停止に追い込む事ができるなんて、テロ組織も真っ青だな

Re:

[Anonymous Coward]

ネットに接続されて、windows updeteが適用されているATMって怖い気がするんだけど

削除対象のリストないですかね。

[Anonymous Coward]

悪意のあるソフト駆除ツールで削除の対象となっているもののリストが
ちょっと探してなかったんだけど、どこかにないですかねえ

#あれとか　これとか　勝手に消されたらやだなぁ

Re:削除対象のリストないですかね。

[AIMTDL (22183)]

オンラインの場合：
悪意のあるソフトウェアの削除ツールにより駆除されるファミリー
http://www.microsoft.com/ja-jp/security/pc-security/malware-families.aspx

オフラインの場合：
%systemroot%\system32\mrt.exe