一太郎の0-day脆弱性を悪用するマルウェアが再び発生 - 米Symantec

米Symantecは同社が運営するblog「Symantec Security Response Weblog」において、ジャストシステムの日本語ワープロソフト「一太郎」の0-day脆弱性を悪用するマルウェアが、再び発生したと公表した。

これによると、今回発見された「Trojan.Tarodrop.D」は、一太郎の0-day脆弱性を悪用することでトロイの木馬を生成するという。その後、このトロイの木馬はキーロガーを生成し、盗み出した情報をcvnxus.8800.orgのTCP443番ポートへ送信するとされる。

また、今回使用が確認されたキーロガーは、自分自身を「%System%\dg.exe」として複製したうえで、explorer.exeのプロセス空間に注入するのだという。こうすることで、感染PCの利用者からこうしたファイルの存在を隠すことができる。同様の動作は「%System%\svhosts.exe」によって再起動後も発生し、感染を継続させることができるという。

一太郎文書として送付されてくるTrojan.Tarodrop.Dを実際に開いた場合、デスクトップが一瞬フラッシュしたかのように光ったあと、文書の内容が表示される。この様態は脆弱性を悪用するマルウェアに共通したものであるのだという。

一方、ジャストシステムによると、この脆弱性の影響を受ける製品は以下であるという。