SWF_EXPLOYT.LPE
Troj/SwfExp-CM (Sophos), Exploit:SWF/ShellCode.U (Microsoft)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
マルウェアは、2014年2月に報告された、Adobe Flash Playerのゼロデイ脆弱性を悪用したエクスプロイトの事例に関連しています。ユーザが改ざんされたWebサイトを訪問した場合、マルウェアは、ユーザのコンピュータに自動でダウンロードします。そして、マルウェアは、特定の脆弱性を悪用し、マルウェアをダウンロードします。このマルウェアに感染したユーザのコンピュータ上で、不正活動が展開される可能性があります。
マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。
マルウェアは、脆弱性を利用して「ゼロデイ攻撃」を仕掛けます。
詳細
侵入方法
マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。
その他
マルウェアは、脆弱性を利用して「ゼロデイ攻撃」を仕掛けます。セキュリティ対策の面からもこの脆弱性に関する以下の説明をご参照ください。
マルウェアは、感染コンピュータのオペレーティングシステム（OS）やインストールされたソフトウェアが以下のいずれかであるかを確認します。
- Windows XP
- Windows 7 および Java 1.6
- Windows 7およびMicrosoft Office 2007 または 2010の古いバージョン
確認されると、マルウェアは、これらのOSのASLR機能をバイパスします。
Windows XPでは、マルウェアは、英語および中国語のOSパックのために、ハードコードされたベースアドレスを持つVisual Cのランタイムライブラリ(MSVCRT)のROP(Return-Oriented Programming)のチェインをビルドします。
Windows 7では、感染コンピュータにJava 1.6が搭載されている場合、マルウェアは、"MSVCR71.dll"のために、ハードコードされたROPのチェインを利用します。一方、感染コンピュータにMicrosoft Office 2007 または 2010が搭載されている場合、”HXDS.dll”のためにハードコードされたROPのチェインが利用されます。
ASLRのバイパスの実行後、マルウェアは、以下として自身のシェルコードをダウンロードします。
- logo.gif
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
起動中ブラウザのウインドウを全て閉じてください。
手順 3
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「SWF_EXPLOYT.LPE」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 4
以下の修正パッチをダウンロードし適用します。この脆弱性に対する修正パッチを適用するまで、該当製品の使用をお控えください。この製品の製造元が公開する正式な修正パッチをダウンロードし適用することをお勧めします。
日本語情報はこちら
ご利用はいかがでしたか？ アンケートにご協力ください