【ウィルス情報】FFFTPへのマルウェア攻撃：Gumblar亜種

▽Windows用のメジャーなFTPクライアントソフト「FFFTP」で使用したIDやパスワードが、ウィルス／マルウェアMalware に盗み出される被害が発生している。Gumblarウイルスの亜種の攻撃対象になった模様。
▽パソコンに侵入したウィルスは FFFTPがレジストリに保存しているIDやPASSを窃取、それを使って勝手にインターネットにアクセスしwebサイトを改竄する（当然、PC内のデータを外にばらまくといったことも原理的に可能）。現在FFFTPを使用していないマシンでも、かつてFFFTPを使用したことがあり、保存されたレジストリが削除されていなければ、同様の被害に遭う（※アンインストールしただけでは、レジストリが削除されない場合がある）。
▽FFFTP以外でも同様にレジストリに各種設定を書き込んで保存するクライアントソフトは多数ある。今回はたまたまFFFTPのレジストリデータが狙われたに過ぎない。
▽接続先サーバが対応しているなら、FTPから、SFTP、FTPSなどの暗号化通信での接続に移行すべき。

▼窓の杜 - 【NEWS】「FFFTP」のパスワードが“Gumblar”ウイルスにより抜き取られる問題が発生
http://www.forest.impress.co.jp/docs/news/20100130_346056.html
▽「定番FTPクライアントソフト「FFFTP」の作者であるSota氏は〔2010年1月〕30日、“Gumblar（ガンブラー）”と呼ばれるウイルスにより「FFFTP」で保存したFTP接続パスワードが抜き取られる事例が多発しているという報告があることを、同氏のWebサイトで発表した。」
▽「同氏は、接続先のFTPサーバーがSSL〔暗号化プロトコル〕などに対応している場合、「FFFTP」はSSL非対応のためSSL接続対応のFTPクライアントソフトへ乗り換え、「FFFTP」をアンインストールすることを推奨している。／　また、「FFFTP」はパスワードをレジストリに保存しており、ウイルスはこのレジストリからパスワードを抜き取っている模様とのこと。同氏によると「FFFTP」をWindowsのコントロールパネルからアンインストールした場合はこのレジストリは削除されるという。／　ただし、インストーラーを使わずに〔手動で〕インストールした場合などは、手動で削除する必要があると思われる。同氏によると、「FFFTP」の［接続］メニューから［設定］−［全設定の消去］を選択 することで、レジストリに記録している設定が消去されるとのこと。」
▽「“ソフトを乗り換えればいい”ではなく、根本的な“Gumblar”対策を／　なお、今回は「FFFTP」が“Gumblar”ウイルスによる攻撃の標的とされたことが作者により発表されたが、これはすでにウイルスに感染した環境において、次の攻撃の足がかりとして「FFFTP」の設定が悪用されたというもので、「FFFTP」に脆弱性があることは意味しない〔同様のソフトは多数ある〕。／　そもそも、レジストリなどソフトの設定へウイルスが自由にアクセスできる状態になっている時点で、そのパソコンはすでにウイルス作者の手に落ちていると言ってよく〔他のソフトもパソコン内に設定やパスワードを書き込んでいる〕、1つのソフトで対策を施したからといって安全であるとは言えない。まずは各種アップデートパッチの確実な適用やウイルス対策ソフトの導入など、“Gumblar”をはじめとしたウイルスに感染しないための根本的な対策が重要なのは言うまでもないだろう。」
▼Sota's Web Page (GumblarによるFFFTPへの攻撃について)
http://www2.biglobe.ne.jp/%7Esota/ffftp-vulnerability.html

▼FTP の危険性に関して超簡単まとめ | WWW WATCH
http://hyper-text.org/archives/2010/01/ftp_security.shtml
▽「ただ、この問題で、〔1. ファイル転送の規格である〕 FTP 自体の危険性と〔、2. クライアントソフトである〕 FFFTP 自体の特性、さらに〔3. コンピュータウィルス〕 Gumblar 対策という点で少し情報が混乱している状況が見受けられます。そこでその点を簡単にまとめてみました。」
▽「まず、ありがちな誤解から。／ ・Gumblar って FFFTP を狙ったウィルスだったんだね。／ ・FFFTP に脆弱性があったのか。怖いなあ。／ ・私は FFFTP を使ってないから安心したよ。／ ・他の FTP クライアントを使えばいいんでしょ？／ ・パスワードを PC に保存しないで毎回打ち込めばいいでしょ？／ ・SFTP とか FTPS で接続してるから Gumblar なんか怖くないよ。」
▽「どうですか？周りにこんなこと言っている人いないでしょうか。まず話を整理しましょう。／　1. 今回の FFFTP の件はソフトウェアの脆弱性じゃないです／ 2. 最も重要なのは根本的な Gumblar 対策／ 3. FTP 自体を基本的には使用しない／ 4. 「パスワードを PC に保存しない」 は解決策じゃない／ 5. どうしても FTP を使わないといけない場合は？／　それぞれ説明していきます。」
▽「〔また、通信時のセキュリティ状態をいえば〕FTP （File Transfer Protocol） はそのプロトコルの仕組み上、クライアントとサーバが通信する際にパスワードが暗号化されません。この、「サーバにログインして、ファイルを書き換えたり削除できる権限を持ったアカウント情報が〔暗号化されず〕平文でやりとりされる」 という仕様が FTP の大きな問題点で、Gumblar もこの点を突いて感染した PC とサーバ間の通信を盗聴するなどし、FTP 情報を盗んで行くわけです。」「よって、サーバとの通信時に暗号化が行われる SFTP （SSH File Transfer Protocol） や FTPS （File Transfer Protocol over SSL/TLS） を使用するようにしましょう。SFTP に対応したクライアントとしては WinSCP、FTPS 対応クライアントとしては NextFTP （シェアウェア） がそれぞれ個人的なオススメです。」
▼「FFFTPだけが危ない」はデマ｜はてな匿名ダイアリー
http://anond.hatelabo.jp/20100130202235
▽「感染した場合、危ないのはFFFTPじゃなく、FTPクライアントソフト全体／　SmartFTP、NextFTP、Filezilla、WinSCPもFFFTPと同じ意味で危険／　今のところ大丈夫なクライアントはある／　でも、大勢の人が乗り換えたら、マルウェアがバージョンアップして対応してくるだけだよ」
▽「■追記／　でもさ、マルウェアに感染してる時点で情報は盗られるからね？／　例えば、FTPは通信を暗号化してないから、簡単に盗聴できるからね？／　今回は「パスワードが利用される」だったけど、「FTPを盗聴して内容をネットに送信する」マルウェアも作れるからね？／　これ、FTPクライアントがFFFTPだろうがなんだろうが関係無いからね？」「■今回の教訓／　・暗号化無しの通信方式（FTPとか)で大事な情報送るな／ ・パスワードは保存するな」
▽「id: otsune氏からの指摘／"「CuteFTPやFFFTPが保存したパスワード情報が盗まれる」と「WinPcapでftpパケットを見られる」のを区別して書かないからダメなんじゃね”〔略〕」
▽「1. FTPという通信方式自体が、〔通信〕パケットを見られるとパスワードやアカウント、通信内容が簡単に盗られる／なぜなら暗号化してないから／　〔※〕"そもそもFTPなんか使うな" と言ってる人達が問題にしてるのはここ」「2. マルウェアに乗っ取られたら・・・／　i. パケットは〔ウィルスから〕見放題なので、FTP使って通信したらパスワードとか盗られる／ ii. 〔ユーザが〕キーボードで何を打ったかも分かるので、パスワードを入力した時点で盗られる／　〔※〕"マルウェアに乗っ取られた時点でFTPだろうがなんだろうがパスワード盗られるよ" と言ってる人たちが問題にしてるのがここ」「iii. パソコンに保存してあるファイルもレジストリの情報も盗られまくる／　〔※〕今回の騒ぎの発端はここ／　過去に使ってたID/パスワードが残ってたら、FTPで通信をしなくても盗られる／　FFFTPや他のソフトがパスワードを保存しているレジストリやファイル、それ自体が狙われた、って話だね」

▼感染対策くらいかけよ！そっちの方が重要じゃねーのか？｜はてな匿名ダイアリー
http://anond.hatelabo.jp/20100131082751
▽「〔ウィルスに〕感染された時点でなにされてもおかしくないのにFFFTPがどうのとか・・・小一時間／　などと罵倒しつつ、俺は〔ウィルスへの対策方法を〕書くの面倒だから2chからコピペですます。亜種でたら対策も変わるので注意ね。」
▼エフセキュアブログ : 間違いだらけのGumblar対策
http://blog.f-secure.jp/archives/50334036.html

▼フリーFTPソフト『FFFTP』に、8080系のマルウェア感染と同時にID・パスワードを取得される危険性があるそうです｜ライフハッカー［日本版］
http://www.lifehacker.jp/2010/01/100130ftpffftp8080id.html
▼UnderForge of Lack｜Blog Archive｜[Hammmer and Anvil] 夜間便
http://www3.atword.jp/gnome/2010/01/28/hammmer-and-anvil-a-blacksmith-in-the-dark/
▽「（前略）〔FFFTPは〕レジストリに ID/Password/接続先 を書き込むため、現在 8080系のマルウェアによって、感染と同時に窃取される危険性があります。／これまでの使用実績に感謝しつつ、ソフトをアンインストールし、以下のレジストリを必ず消去してください」
▽「どのみちFTPは平文転送なんだから同じでしょ？／　過去に１回でもFFFTPをインストールして使用した環境は、現在は使用していなくてもその残骸がレジストリに残っています。そして運悪くマルウェアに感染したら意図していないにもかかわらずその情報が窃取されます。／※例えば、自分が出先でFTPを使うためにちょっとインストールして、使用後、そのフォルダだけ消したとします。しかしそのレジストリが残っており、もしパスワードを保存してしまったとしたら、誰かがレジストリを消さない限り延々と残り続けるのです。そしてFFFTPを起動できない環境であっても、マルウェア感染の有無にかかわらず、ID/PASS/接続先が窃取される恐れがあります。」
▼ガンブラー(/*Exception*/) vs avast! - smilebanana
http://www.smilebanana.com/archives/2010/01/23-0033.php
▼ガンブラー(/*Exception*/) vs Norton Internet Security 2010 - smilebanana
http://www.smilebanana.com/archives/2010/01/23-2158.php
▽後者のレポート、実際にFFFTPのPASSが窃取され、サイト改竄が起きたと報告。

▽サーバがSSL暗号化されている場合。FTPクライアントソフト「FileZilla（ファイルジラ）」は対応している。
▼FileZilla - The free FTP solution
http://filezilla-project.org/
▼Filezillaの利用法[imc]｜岐阜大学 総合情報メディアセンター
http://www.gifu-u.ac.jp/imc/system/network/filezilla/
▽Windows、Mac OSX、Linuxマルチプラットフォーム対応のオープンソース・プロジェクト。Windows 2000上で動作を確認（公式にはXP以降対応）。OSX ではCyberduck も従来どおり使えるかもしれない（FTPSには対応している）。

▽参考：
▼[FileZilla]XREAでFTPS/FTPES(FTP over SSL)を使う : うえちょこ＠ぼろぐ
http://labs.uechoco.com/blog/2009/03/filezilla-xrea-ftps-ftpes-ftp-over-ssl.html
▽「XREA〔エクスリア〕では少し前からFTPS(FTP over SSL)に対応していたらしい。SFTPは知っていたがFTPSは知らなかった。調べてみるとFTPSには2つのモードがあるらしい。／・Implicitモード：暗黙的にTLS/SSLを使うFTP／ ・Explicitモード：明示的にTLS/SSLを使うFTP／　どうやらXREAはImplicitモードは対応していないらしい。」
▽「私が今使っているFileZilla 3.0.8.1ではFTP、SFTP、FTPS、FTPESの4つの形式に対応しているが、FileZillaでは以下のような意味を示す。／・FTP：通常のFTP／ ・SFTP：SSHのファイル転送／ ・FTPS：FTP over Implicit SSL／ ・FTPES：FTP over Explicit SSL／　というわけで、XREAでFTPSを使う場合は、「FTPES」という設定を使う。」
▼FTP, FTPS, SFTP｜いとのページ
http://homepage1.nifty.com/yito/anhttpd/faq/ftp.html
▽「FTP(File Transfer Protocol)はホスト間でファイル転送を行うときに使われるプロトコルである。HTTPより古くから使われているが、パスワードやデータなど通信内容が平文で流れるため(要するに暗号化されずに垂れ流し状態)、悪意のある者がパケットキャプチャをすると転送内容を盗み見されてしまうという深刻な問題がある。／　ここでは暗号化してセキュアなファイル転送を行う方法を解説する。」