RDPの脆弱性「MS12-020」が利用される深刻なリスクとは
![](https://documents.trendmicro.com/assets/dumpimages/184201234254.jpeg)
「リモート デスクトップの脆弱性により、リモートでコードが実行される」とは、どのような脆弱性ですか?
この脆弱性は、特にRDPがメモリ上の一連のパケットを解析もしくは読み取る際の不具合を指します。したがって、特別に細工された一連のパケットを最初に送信することにより、この脆弱性を利用することができます。つまり、PRDは、特別に細工されたパケットをメモリ上で処理することができないため、不正リモートユーザは、この不具合を利用して、初期化に失敗したオブジェクトや削除済のオブジェクト等にアクセスできるコードを送信します。こうして、この不具合は修正されず、脆弱性として利用されます。
コードが実行されると、どのような被害が発生しますか?
不正リモートユーザや攻撃者がどのようなコードを送信するかで、被害の状況は変わってきます。マルウェアが実行されたり、影響を受けたコンピュータ上の任意のプログラムやアプリケーション等が実行・開封されたりする場合もあります。あるいは、影響を受けたコンピュータが完全に遠隔操作されてしまう場合もあります。さらには、サイバー犯罪たちが自分たちの不正活動のためにこれらのコンピュータを活用するケースもあります。
RDPの脆弱性を利用した実際の脅威は、既に確認されていますか?
2012年4月15日現在、トレンドマイクロのリサーチャーにより、この脆弱性を利用する「概念実証コード(PoC)コード」の存在が確認されているのみです。このPoCコードは、ターゲットにしたコンピュータに対してRDPの脆弱性を利用した「サービス拒否(DoS)攻撃」を実行できるハッキングコードであることも確認されています。
実際の攻撃がまだ確認されていない段階で、警戒する必要はあるのでしょうか?
脆弱性利用は、スパムメッセージやマルウェア、ボットネットなどと異なり、大々的に報道される脅威には見えないかもれませんが、現実は、他のいずれにも劣らず非常に危険な脅威であると見なすべきでしょう。この脅威は、その構造上からも、ソフトウェア、Webサイト、アプリケーション、サーバ、さらにはオペレーティングシステム等にも存在するあらゆる脆弱性が利用されるため、様々な深刻な被害が想定されます。想定される被害の中で最も深刻なものが、「マルウェアの実行」や「不正リモートユーザによるコードの実行」などです。また、Webサイトの脆弱性が利用される場合も、その被害は、そのサイトを閲覧したユーザにすぐ現れてしまいます。
- オランダのニュースサイトの改ざん被害
自宅およびオフィスでWindowsのPCを利用していますが、被害を受ける危険はないでしょうか?
RDPは、デフォルトでは有効化されていないため、自宅でご使用のコンピュータがRDPの脆弱性を利用する攻撃の被害を受ける可能性は低いといえます。また、オフィス等で使用しているコンピュータも、ファイアウォールで保護されている場合は比較的安全だといえるでしょう。
RDPの脆弱性利用からコンピュータを守るためにどのような対策を行うことができますか?
「Microsoft Update」や「Windows Updates」の自動更新を有効にしておくこと。こうすることで、Microsoftから提供される更新プログラムを自動的にダウンロードしてインストールすることができます。ご使用のソフトウェアやアプリケーションに関しても、提供元からリリースされる修正パッチを確実に適応しておくことです。こうすることで、未修正や未適応の脆弱性を利用する攻撃からコンピュータを守ることができます。また、今回のRDPの脆弱性に関しては、特にRDPが使用するTCP3289番ポートのブロックも考慮するべきでしょう。もしくは、このポートのトラフィックスキャンや、トラフィックに何か異常がないか等のモニタリングを行うことも有効です。
トレンドマイクロ製品は、この脅威を防ぐことができますか?
トレンドマイクロの各製品は、RDPの脆弱性を利用する攻撃からユーザのコンピュータを確実に守ることができます。RDPの脆弱性利用のPoCコードとしても確認されたハッキングツールは、既に「DDOS_DUCAU.A」の検出名で検知されており、感染を未然に防ぎます。さらに、「Trend Micro Deep Security」および「Trend Micro 脆弱性対策オプション」をご利用のユーザは、フィルタ(1002508:Application Control For RDP)の適用が義務付けられていないPC上では、この脅威を回避するためにも「リモート デスクトップ共有機能」を無効にすることをお勧めします。また、「TMS」をご利用のユーザは、以下のTDAパターンに更新することでご使用のコンピュータやネットワークを確実に守ることができます。
- Network Content Inspection Pattern (NCIP) 1.11595
- Network Content Correlation Pattern (NCCP) 1.11579