2008年5月版 SQLインジェクションワーム？？？

「SQLインジェクションワーム」という単語が流布しているようなので、関連情報を調べてみた。流布の出典は、2008年5月6日に Internet Storm Center(ISC) の Handler's Diary: 4393 に掲載された記事のようである。この記事では、「SQLインジェクションワームのような活動」「Google検索すると4000近くのサイトに被害あり」「活動開始は4月半ばあたり」「winzipices.cn(悪性サイト)への誘導スクリプト埋込み」を報告している。

A loyal ISC reader, Rob, wrote in to point us at what looks to be a SQL Injection worm that is on the loose. From a quick google search it shows that there are about 4,000 websites infected and that this worm started at least mid-April if not earlier. <<SNIP>> The details, the script source that is injected into webpages is winzipices.cn.

2008/05/06 ISC SANS - SQL Injection Worm on the Loose (UPDATED x2)

まず、ISC Handler's Diary: 4393 をキーにして日本語記事の参照関係をリストしてみる。

• 2008/05/07 ITmedia - SQLインジェクションワームが猛威、4000サイトが感染
  • 2008/05/07 @niftyニュース - SQLインジェクションワームが猛威、4000サイトが感染
  • 2008/05/07 MSNデジタルライフ - SQLインジェクションワームが猛威、4000サイトが感染
  • 2008/05/07 BIGLOBEニュース - SQLインジェクションワームが猛威、4000サイトが感染
• 2008/05/07 ITpro - 「SQLインジェクション・ワーム」出現、Webサイトを自動的に改ざん
  • 2008/05/16 日立システムアンドサービス - SQLインジェクション攻撃を仕掛けるワームが出現
• 2008/05/0x OCNセキュリティ対策 セキュリティニュース SQLインジェクションワームが出現−SANS−
• 2008/05/07 日経パソコン - 「SQLインジェクション・ワーム」出現、Webサイトを自動的に改ざん
• 2008/05/07 INTERNET Watch - SQLインジェクション攻撃を行なうワームが出現、米SANS Instituteが警告
• 2008/05/15 (独)情報処理推進機構 - SQLインジェクション攻撃に関する注意喚起
  • 2008/05/16 日刊工業新聞 - IPA、SQLインジェクション攻撃に関する注意喚起
  • 2008/05/19 CNET Japan - IPA、急増するSQLインジェクション攻撃に対し注意喚起

誘導先サイト名(winzipices.cn)

次に、誘導先サイト名(winzipices.cn) をキーにして参照関係をリストしてみる。

• 2008/05/06 ISC SANS - SQL Injection Worm on the Loose (UPDATED x2)
  • 2008/05/06 DNS-BH - Malware Domain Blocklist - New SQL Injection Worm
  • 2008/05/07 PC Sympathy - SQL Injection Worm on the Loose
  • 2008/05/07 TrendLabs Malware Blog - Developing: New Adventures in SQL Injection Attacks
• 2008/05/07 Shadowserver Foundation - New SQL Injection Attacks and New Malware: winzipices.cn
• 2008/05/07 シマンテック - W32.Wowinzi.A
• 2008/05/07 トレンドマイクロ - JS_DLDR.AW
  • 2008/05/07 TrendLabs Malware Blog - A Very Convoluted Chinese Gaming-Info-Stealing Campaign
• 2008/05/09 cNotes - winzipices.cn www.bluell.cn www.ririwow.cn
• 2008/05/10 F-Secure Weblog - SQL Injection Continues
• 2008/05/13 Rapid7 - Rapid7 Announces Critical Vulnerability Check for Automated SQL Injection
  • 2008/05/14 Help Net Security - Winzipices.cn SQL injection attack
• 2008/05/13 Shadowserver Foundation - Full list of Injected Sites
  • 2008/05/21 NTTデータ・セキュリティ - SQLインジェクション・ワームに関する現状と推奨する対策案
    • 2008/05/15 NTTデータ・セキュリティ - SQLインジェクション・ワームに関する調査レポート
    • 2008/05/28 ScanNetSecurity - SQLインジェクション・ワームに関するレポートを発表（NTTデータ・セキュリティ）
    • 2008/05/29 NTTデータ・セキュリティ - SQLインジェクション・ワームに関する現状と推奨する対策案 - 新たな脆弱性と攻撃の巧妙化についての報告
  • 2008/05/23 IBM Internet Security Systems - Automated SQL Injection Attacks
  • 2008/05/23 IBM インターネット セキュリティ システムズ - 自動化 SQL インジェクション攻撃
• 2008/05/15 MSBLOG - And so the SQL attacks continue;

自動化されたSQLインジェクション攻撃 (Automated SQL Injection Attacks) による被害が広域かつ多数発生したために、「SQLインジェクションワーム」と例えていると考えるのが良いようですね。

@Sam