ESET Threat Centerで公開しているブログを購読されている方はすでにご存知かと思いますが、先日、「Year-End Global Threat Report for 2008」（PDFレポート）を公開しました。この長大なレポートでは、2008年におけるマルウェアのおもな傾向と2009年に予測される脅威の傾向を詳しく解説しています。 特に大きく取り上げているのは、偽のアンチマルウェア製品、データファイルがもたらす脅威、正規ファイルの悪用、偽のコーデックと関連する脅威、そしてAutorun機能を悪用するマルウェアです。また、Virtumondeをはじめとするアドウェア、Win32/PSW.OnlineGames、Win32/Agent、Win32/Confickerなど、特定のマルウェアにも言及しています（Confickerについては、このすぐあとでも取り上げます）。このほか、次のようなトピックも掲載されています。
 

一部では、Confickerに感染したPCは1,000万台から5,000万台に上ると大きく報じられています。われわれは、それほどまでに感染が広がっているという確証は持っていませんが（http://www.eset.com/threat-center/blog/?p=511を参照）、非常に多くのPCがConfickerに感染していることはまちがいありません。Confickerは、PCを攻撃するためにさまざまな手段を用います。そこで以下では、これまでにブログで解説してきたいくつかのConficker対策を改めて紹介します。
あたりまえのことですが、何よりも重要なのは、適切なアンチマルウェアソフトウェアを使用することです。アンチマルウェアソフトウェアは、あらゆるリスクに対して完全なセキュリティを提供してくれるわけではありませんが、最新のアンチマルウェアソフトウェアを導入していれば、そうでない場合よりもConfickerに感染する確率を低くすることができます。ESETでは、セキュリティベンダー各社と同様、これまでにConfickerの亜種を多数検出しており、新しい亜種についての情報を入手するたびにシグネチャとヒューリスティック技術を更新しています。Confickerは高度で複雑な脅威ですが、現在のところESETの検出技術は極めて有効に機能しています。
ConfickerはMicrosoftのMS08-067の脆弱性を悪用することが知られていますので、この脆弱性を修正するパッチを適用する必要があります（すでにConfickerに感染している場合は、パッチ適用の前に駆除を行ってください）。興味深いことに、Confickerは、感染先のシステムにMS08-067の脆弱性が存在する場合、この脆弱性を修正することがあります（Confickerは複数の方法で感染するため、この脆弱性が存在しないシステムにも感染します）。
MS08-067の脆弱性は、netapi32.dllのnetapi32.NetpwPathCanonicalize関数に起因しています。この脆弱性を修正するパッチが緊急リリースされたのは2008年10月23日のことですが、依然としてこのパッチを適用していない企業や組織は少なくありません。Confickerは、自身が割り当てたメモリ領域へのジャンプを問題の関数の先頭部分に追加し、修正した関数をその領域にコピーすることによって元の脆弱性を解消します（これは、Confickerの作者が良心から行っているというより、ほかのマルウェアがこの脆弱性を悪用できないようにするという目的があると考えられます）。この関数は、自身のパラメータ以外のデータにはアクセスする必要のない自己完結型の関数であるため、書き換えは比較的容易であり、これによって動作が不安定になることもありません。とはいえやはり、Confickerを駆除したあとは正規のパッチを適用し直すことが推奨されます。
現時点で、まだパッチを適用していないユーザーは相当数存在します（特に企業ユーザー）。すでにPCが感染している場合、システム所有者/システム管理者またはマルウェアによって自動アップデートが無効にされている可能性があります。その場合には、適切な方法でConfickerを駆除することが必要です。単にパッチを適用するだけで感染したPCを元に戻すことはできませんので、パッチを適用する前にConfickerを駆除してください。MS08-067のパッチを適用する際には、同時に MS08-068とMS09-001のパッチも適用する必要があります。
このほか、脆弱な管理共有パスワードにも注意が必要となります。Confickerは、辞書攻撃で単純なログインID/パスワードを試し、ローカルネットワーク共有にアクセスしようとします。そのため、企業環境では、駆除作業中は管理共有とネットワークドライブを無効にして、駆除作業を行ったPCが直後に再感染するのを防ぐとともに、共有の使用を再開する前に強力なパスワードを設定することをお勧めします。
Confickerは、WindowsのAutorun機能も悪用します。ESETでは以前より、Autorunはデフォルトでは無効にしておくべき機能だと主張してきました（実際のところ、この機能を悪用するマルウェアはThreatsense.Netにおいて最も厄介な脅威の1つとなっています）。再感染の可能性を小さくするためにも、少なくとも駆除作業の間は一時的にAutorun機能を無効にするようにしてください。なおMicrosoftは、この機能を無効にする方法を二度にわたって 公開していますが、US-CERTは、Microsoftが説明している方法では不十分であるとする技術文書を公開しています。特に必要のないかぎり、Microsoftの方法ではなく、US-CERTの文書で説明されているSyS:DoesNotExistを使う方法を実施するようにしてください。
また、過去に使用したUSBデバイスが自動実行されるのを防ぐため、システムを再起動する前に、レジストリキーのHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2を削除する必要もあります。