JPCERT/CCがFTPアカウントを盗むマルウエアの検証結果を公表

JPCERT/CCがいわゆるGumblarがどのようなソフトウェアの情報を盗むのかと言う事に関する検証結果を「FTP アカウント情報を盗むマルウエアに関する注意喚起」ということで発表していました。先日も書きましたが、この問題がFFFTPにとどまらない一般的な問題だという事をはっきりさせてくれる良いレポートですね。

FTP アカウント情報を盗むマルウエアに関する注意喚起 - JPCERT/CC Alert 2010-02-03

本攻撃に使用されているマルウエアに感染すると、ユーザのコンピュータ内に保存されているアカウント情報が読み取られ、外部のサーバに対し送信される可能性があります。このアカウント窃取の対象となるソフトウエアは、FTP クライアントを含む複数の製品にのぼります。JPCERT/CC では、以下の FTP クライアントにてマルウエアによるアカウント窃取、および外部サーバへのアカウント情報の送信を確認しました。

- ALFTP 5.2 beta1
- BulletPloof FTP Client 2009.72.0.64
- EmFTP 2.02.2
- FFFTP 1.96d
- FileZilla 3.3.1
- FlashFXP 3.6
- Frigate 3.36
- FTP Commander 8
- FTP Navigator 7.77
- FTP Now 2.6.93
- FTP Rush 1.1b
- SmartFTP 4.0.1072.0
- Total Commander 7.50a
- UltraFXP 1.07
- WinSCP 4.2.5

上記に加えて、以下の Web ブラウザのアカウント管理機能を用いて保存されている情報をマルウエアが窃取し、外部サーバに送信している事を確認しました。

- Microsoft社 Internet Explorer 6
(Internet Explore 7 および 8 ではアカウント窃取は確認されておりません)
- Opera社 Opera 10.10

また、今後マルウエアが変化し、アカウント窃取の対象となるソフトウエアが変化する可能性があります。

ポイントとしてはFFFTPの乗り換え先として取り上げられている事が多い、FileZillaやWinSCPが入っていることについては十分留意すべきだと思います。