🚀 go-pugleaf

河野真治 @ 琉球大学情報工学です。

In article <3f6d3bfb$0$252$44c9b20d@news2.asahi-net.or.jp>, "Tadashi Nakamura" <tn_mls@hotmail.com> writes
> １週間ほど前から、Microsoft という名前が入った様々なメールが届くようになりま
> した。
> 内容は、Secuirty Alert や ネットワーク管理者への啓蒙など、一概に、詐称メール
> だとは
> 言い切れないものもあるようです。

ぜんぶ、そうだと思って実害ないです。この4日で1万通きました。

結局、AMaViS をいれてもらいました。

---
Shinji KONO @ Information Engineering, University of the Ryukyus, 
              PRESTO, Japan Science and Technology Corporation
河野真治 @ 琉球大学工学部情報工学科, 
           科学技術振興事業団さきがけ研究21(機能と構成)

"Shinji KONO" <kono@ie.u-ryukyu.ac.jp> wrote in message
news:3988985news.pl@insigna.ie.u-ryukyu.ac.jp...
> $B2OLn??<#(B @ $BN05eBg3X>pJs9)3X$G$9!#(B
>
> $B$<$s$V!"$=$&$@$H;W$C$F<B32$J$$$G$9!#$3$N(B4$BF|$G(B1$BK|DL$-$^$7$?!#(B

$B$5$C$-FO$$$?$P$+$j$N!"$=$N<o$NE57?E*$J%a!<%k$O(B
$BK\J8$O!"$-$l$$$K%G%6%$%s$5$l$F!"0l8+$7$F(B Microsoft $B$+$i$N(B DM $B$+$H(B
$B4*0c$$$7$F$7$^$$$=$&$G$9!#!V(BMicrosoft Home$B!W$H$$$&(B Linked Button $B$K(B
$B%^%&%9$rEv$F$k$H!"3N$+$K%j%s%/$7$F$=$&$G$9!#$3$l$G$OqY$5$l$F(B
$BE:IU%U%!%$%k$,$"$1$F$7$^$$$=$&$K$J$j$^$9!#(B
$B$7$+$7!"$=$N(B Headers $B$rD4$Y$F$_$k$H(B
Microsoft $B$K4X78$N$"$j$=$&$J!VJ8;zNs!W$O8+Ev$j$^$;$s!#(B
$B$=$&$H$&<j$,9~$s$G$$$^$9$M!#2?$H8@$&(B Virus $B$J$s$G$7$g$&$+!#(B

--
Tadashi Nakamura
tn_mls@hotmail.com

> Microsoft に関係のありそうな「文字列」は見当りません。
> そうとう手が込んでいますね。何と言う Virus なんでしょうか。

http://www.zdnet.co.jp/enterprise/0309/19/epn03.html
これではないかと思われます。

うちではAVGのフリーバージョン使っているのですが、ウィルスチェックに引っ
掛からないことから安心してクリックしちゃった人から拡散しているものと思わ
れます。

-- 
丸山　隆義 
Mail:t_m@po.dcn.ne.jp

いいじまです。

> > ぜんぶ、そうだと思って実害ないです。この4日で1万通きました。

私のところは 4500 くらいで収束しそうです。
ネットニュースからメールアドレスを収集しているようで、2ch でもあまり話題
になっていません。

> さっき届いたばかりの、その種の典型的なメールは
> 本文は、きれいにデザインされて、一見して Microsoft からの DM かと
> 勘違いしてしまいそうです。

この件、fj.comp.security、fj.news.net-abuse、fj.net.watch、fj.net.watch
などに情報が流れています。そちらを参照してください。

重要なことをいくつか。

○Microsoft は、添付ファイルでパッチをユーザーに配布するということはして
　いません。セキュリティ関係のニュースレター MS から購読していればわかり
　ますが、MS のパッチはすべて web（WindowsUpdate を含む）からの配布です。

○Microsoft は、日本語のメールでの情報提供も行っています。たとえデフォル
　トが英語でも、大抵のものは日本語に切り替えられるはずです。

○Windows 95 は既にサポート外になっており、セキュリティパッチも今後一切
　提供されないことになっています。Windows 95 対応を謳ったパッチは、たと
　え Web 上に残っていても、先方のディスク整理の際に削除される可能性があ
　ります。

○IE も現在は原則として 6 のみがサポート対象になっています。
　5.01、5.5 は原則として、Windows 2000、Windows Me にバンドルされている
　もののみが引き続きサポート対象で、それ以外は 6 へのアップグレードを
　推奨しています。ちなみに、Win95 には IE6 はインストールできません。

これだけわかっていれば、今回のものがうそっぱちだということを見破る手がか
りになります。

========================================================================
飯嶋 浩光 / でるもんた・いいじま   http://www.ht.sakura.ne.jp/~delmonta/
IIJIMA Hiromitsu, aka Delmonta           mailto:delmonta@ht.sakura.ne.jp

rexです。

Sun, 21 Sep 2003 15:55:58 +0900,
丸山　隆義 <t_m@po.dcn.ne.jp> wrote in message
<20030921155332.9A1C.T_M@po.dcn.ne.jp>

> うちではAVGのフリーバージョン使っているのですが、ウィルスチェックに引っ
> 掛からないことから安心してクリックしちゃった人から拡散しているものと思わ
> れます。

引っかからなかったからといってファイルを実行するのは危険では？
それと自分は確認してないのですが、AVG Free Editionでも
*最新のデータなら*検出できると聞いてますよ。

> > うちではAVGのフリーバージョン使っているのですが、ウィルスチェックに引っ
> > 掛からないことから安心してクリックしちゃった人から拡散しているものと思わ
> > れます。
> 
> 引っかからなかったからといってファイルを実行するのは危険では？

いや、もちろん実行しないですが、"そう言う人もいる"と言うことです。


> それと自分は確認してないのですが、AVG Free Editionでも
> *最新のデータなら*検出できると聞いてますよ。

ついさっきアップデート確認してみたらまたアップデートされてました。
これでやっと引っ掛かるようになってくれましたよ。

-- 
丸山　隆義 
Mail:t_m@po.dcn.ne.jp

"Tadashi Nakamura" <tn_mls@hotmail.com> wrote in message news:3f6d4972$0$260$44c9b20d@news2.asahi-net.or.jp...
> "Shinji KONO" <kono@ie.u-ryukyu.ac.jp> wrote in message
> news:3988985news.pl@insigna.ie.u-ryukyu.ac.jp...
> > 河野真治 @ 琉球大学情報工学です。
> >
> > ぜんぶ、そうだと思って実害ないです。この4日で1万通きました。
> 
> さっき届いたばかりの、その種の典型的なメールは
> 本文は、きれいにデザインされて、一見して Microsoft からの DM かと
> 勘違いしてしまいそうです。「Microsoft Home」という Linked Button に
> マウスを当てると、確かにリンクしてそうです。これでは騙されて
> 添付ファイルがあけてしまいそうになります。
> しかし、その Headers を調べてみると
> Microsoft に関係のありそうな「文字列」は見当りません。
> そうとう手が込んでいますね。何と言う Virus なんでしょうか。

新種のウィルスみたいですよ
http://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_SWEN.A

ここ三日で300通近く来てました


-- 
--- 以下署名 ---    
茨城県真壁郡明野町　武井康友              
ハンドル：やっぴー         
vj5y-tki@asahi-net.or.jp
http://www.asahi-net.or.jp/~VJ5Y-TKI/

山本です。

|Subject: Re: MS からの DM ?
|From: IIJIMA Hiromitsu <delmonta@ht.sakura.ne.jp>
|Date: Sun, 21 Sep 2003 16:36:32 +0900
|Message-Id: <3F6D54FF.189E3EB7@ht.sakura.ne.jp>
|User-Agent: Mozilla 4.78 [ja] (Win98; U)

| 重要なことをいくつか。
| 
| ○Microsoft は、添付ファイルでパッチをユーザーに配布するということはして
|  いません。セキュリティ関係のニュースレター MS から購読していればわかり
|  ますが、MS のパッチはすべて web(WindowsUpdate を含む)からの配布です。

これはこのへんですね↓
http://www.microsoft.com/japan/technet/security/policy/swdist.asp

| this is the latest version of security update, 

Swen の本文の中には必ずこのワンフレーズがあるので、お使いのメー
ルソフトで「本文にこれが入ってたらゴミ箱行き」とするルールでも作っ
て振り分けちゃえばいいです。

フィルタや振り分けで済むうちはいいのですが、そうも言っていられな
いほど受信している方もいらっしゃるようで。シャレなってないようで
すね。

以上

山本謙次 [MVP]

-- 
JWNTUG TechNote http://www.jwntug.or.jp/tech/technote/index-j.html
JWNTUG NT-FAQ-J http://www.jwntug.or.jp/tech/ntfaqj/index.html
Kenji Yamamoto, Microsoft MVP (Security; Windows Server Systems), MCP+I, MCSE (TCP/IP, IIS4, IEAK4)
mailto:ethernet@jcom.home.ne.jp

いいじまです。

> | this is the latest version of security update,
> 
> Swen の本文の中には必ずこのワンフレーズがあるので、お使いのメー
> ルソフトで「本文にこれが入ってたらゴミ箱行き」とするルールでも作っ
> て振り分けちゃえばいいです。

これが全体の約半数ですね。こちらは「受け取っても添付ファイルを実行しなけ
れば大丈夫」ですので一安心。

もうひとつのパターンが、メールサーバーからのエラー返送を装ったものです。
これは少しタチが悪いです。HTML メールの中に「添付ファイルを音楽として
鳴らしてください」という指定を貼り込んであり、添付ファイルに「これは
音楽ファイルです」というメールヘッダがついているのですが、その添付ファ
イルの拡張子が .exe だったり .pif だったり .scr だったりします。

最新の Outlook Express はこれをきちんと「ヘッダは音楽だと言っているけど、
拡張子や中身から判断して音楽ではない」と認識しますが、2 年くらい前のもの
をそのままパッチ当てなしで使っていると、このチェックを受けずに Outlook
Express が Windows に対しその .exe ファイルなり .pif ファイルなりを「デ
フォルトの方法で開いてください」という指示を出して、その結果……というわ
けです。

> フィルタや振り分けで済むうちはいいのですが、そうも言っていられな
> いほど受信している方もいらっしゃるようで。シャレなってないようで
> すね。

「そうも言っていられないほど受信している方」のひとりです。
4500 で収束しそうと言ったけど、もうトータルで 10000 は軽く超えてると思う…
SWEN を 10000 通って…1 通 150KB として、CD 2 枚以上ですよ(w

というわけで、サーバー上のメールボックスにメールを溜めてはダメです。
たとえ朝メールチェックしても、夜になって帰ってきたらパンクしてます。
メールボックスに入れる以前にフィルタリングしないと。

ちなみに、何度も出してますが私のフィルタ。
http://www.ht.sakura.ne.jp/~delmonta/anmerkungen/.procmailrc

元々は単なる spam 除け（1日にせいぜい50通）だったのですが、今はこれがない
と SWEN で大変です。なにせ、毎日のように数百 MB のゴミを受け取っています
から。

この設定ファイルの中の、fake-ms-patch と fake-audio のふたつが SWEN 除け
の設定です。これに関しては、「誤反応対策として本文は捨ててヘッダだけ保存」
としているのですが、そのヘッダだけでも数日で 1MB を超えます…

こういうフィルタが書ける（そういう環境と技術がある）人はいいですけど、そ
うでない人は、プロバイダのウイルスフィルタ（が使い物になれば）を使ったり、
あるいは、フリーのメールサービスの中で実行形式の添付ファイルを受信拒否す
るようなところにいったん転送してから受信するようにしたりしないと。

まあ、大半の人は既に何らかの形で対策済だとは思いますが。

========================================================================
飯嶋 浩光 / でるもんた・いいじま   http://www.ht.sakura.ne.jp/~delmonta/
IIJIMA Hiromitsu, aka Delmonta           mailto:delmonta@ht.sakura.ne.jp