SANSのInternetStormCenterのInfoConが昨日からYellowになっている。ISCのInfoConは、大規模なワームが発生する可能性があるときYellowになる。ここのInfoConは、そうやたらとYellowにはならない。Yellowになったのは、昨年(2004年）5月1日のSasserワーム以来久しぶりだ。

ISCによるとYellowになる問題は２つあるが、とりわけ関係するのは、先日月例パッチが出たMicrosoftのMS05-039のようだ。土日を潰してでもすべてのWindowsマシンにパッチを適用して回るようアドバイスしている。最新のWindwosUpdate(MicrosoftUpdate)を適用してあれば問題はない。

MS05-039の脆弱性を利用するコードはすでにいくつか公開されているという。調べてみた。あった。スタックバッファオーバーフローだ。なるほど。。。これが利用されるとSYSTEM権限でコードを実行できるようだ。SYSTEM権限というのは、つまり、そのコンピュータ上で出来ることは何でもできるということだ。

現時点でMS05-039を利用したワームそのものはまだ出ていないようだ。だが、ISCによれば、もし出るとすれば現在出回っているワームのコードをMS05-039の脆弱性を利用するように改造したものになるだろうとのこと。改造は、数時間～数日でできる。

手元のインバウンドパケット履歴を調べてみた。Port139が増えているように見える。JPCERT/CCのインターネット定点観測システムでも、わずかに上がっている。ＭＳ05-039のワームが出るとすれば、Port 139か445を利用するだろう。

手元でも、なんだかんだあわせて、現在5分に１個くらいの割合でワームが来ている。これらは古いワームなので毎月ちゃんとシステムをUpdateしていれば問題ないが、これが最新の脆弱性を利用するものに改造されたりするとちょっと大変だ。実際にワームが出てからでは間に合わない。今月のUpdateが適用されているか、早いうちにチェックしておいた方がよさそうだ。

というわけで、お客さんで１件心配なところがあった。緊急に見回りに行ってきた。自動でUpdateするようにはなっているのだが、本当にUpdateできているか確認のため。無事自動でUpdateを完了していた。これでよし。

----追記 8/15 03:00---
ＭＳ05-039の脆弱性を利用したワームが検出された。Zotobという。Mytobを改造したもの。ただし、このワームは、現時点でWindows XP SP2には、感染しない。また、port 445/TCPを使うため、445をブロックしている場合は、感染しない。もちろん、８月のWindowsUpdateをしている場合も感染しない。
詳しくは、F-Secureのブログ
http://www.f-secure.com/weblog/
Zotobの日本語での解説（FSecure）
Zotobに関する情報（マイクロソフト）

要約
いささか刺激的なタイトルだが、これは、2005年6月、日本のブログを席巻したミーム(meme)、「Musical Baton」の観測記録である。このミームがブロガーの間にどのように広がっていったのかを、観測データから明らかにする。この記録は、個人的な忘備録である。

プロローグ
ミーム(Meme)とは、ギリシャ語の「模倣(mimeme)」から造られた造語で、人間の心を媒介として伝達し、模倣され、あるいは、変異しながら増殖し、広がっていく情報のことを言う。また、その様をウィルスに例えて、マインドウィルスともいう。マインドウィルスは、人と人とのコミュニケーションによって感染し、人の心に作用して喜びや悲しみや感動や悲嘆など、人の心に影響を及ぼす。そして、その人の行動に影響を与える。このウィルスに感染すると、人は、更により多くの人々の間にこのウィルスを感染させるべく振舞うようになる。よくできたミームは、人々の間で容易に伝達され、急速に拡大して増殖する。

経過
5月9日、一人のアメリカ人が、友人の勧めで「このミームがどのように広がるかを見てみたい」との動機から、音楽に関する4項目のアンケートをブログに書き込む。そしてお互いに面識の無い5人を次の回答者に指定。（もっと古いものもあるようだが、それは今回のミームの直接の祖先では無いと思う）。ミームのタイトルは、ずばり、
「Music Victim Meme」
である。Victimとは、犠牲者、被害者のこと。しかし、このミームは、あまり流行しなかった。5月12～13日頃、タイトルが「Musical Baton」に変わり、15日頃から爆発的な感染力を得ることになる。英語圏でのピークは、18日である。4日でピークに達している（写真左のピーク---グラフは、BlogPulseから）。

英語圏でピークの5月17日頃、このミームが日本人に渡される。だが、それは6月8日まで放置されることになる。6月8日、このミームが日本語に翻訳され回される。だが、ここでも初期段階では流行しなかった。感染力を得たのは、6月12日頃以降である。途中何度か足踏みしながら増殖し、6月22日頃、日本でのピークを迎える（写真右のピーク）。
（つづく）
心を操るウィルス「Musical Baton」ミームの感染記録（２）
心を操るウィルス「Musical Baton」ミームの感染記録（３）
心を操るウィルス「Musical Baton」ミームの感染記録（４）
心を操るウィルス「Musical Baton」ミームの感染記録（５）