Endpoint Protection

 

その答えは、以前のバージョンでは脆弱性を利用しない代わりに AutoRun の手法を使用して広がっていたというものです。ワームは、リムーバブルドライブのルートに、2 つの異なる目的に合った autorun.inf ファイルを作成するという手法を使用していました。特別に細工されたファイルは、実行可能ファイル、または正しい形式の autorun.inf ファイルのどちらかとして解釈される可能性がありました。Windows が autorun.inf ファイルを解析するとき、その解析はかなり寛容です。具体的には、正当な AutoRun コマンドの一部として認識されないすべての文字は、不要なデータとしてスキップされ、解析が続けられます。Stuxnet は、autorun.inf ファイル内の先頭に MZ ファイルを配置することで、このことを悪用します。Windows が autorun.inf ファイルを解析すると、ファイルの末尾に付加されている正当な AutoRun コマンドが検出されるまで、MZ の内容がすべて不要なデータとして無視されます。autorun.inf ファイルのヘッダーとフッターは、次の図のようになります。

 

 

 

 

 

次のように、フッターから文字列だけを抜粋すると、正当な AutoRun コマンドから構成されていることがわかります。