MS Blaster Worm（エムエスブラスターワーム）
2003年8月11日感染拡散開始のWindows DCOM RPC脆弱性悪用ワーム。CVE-2003-0352・累計800万PC感染。
概要
MS Blaster Worm（別名Lovsan、Lovesan、Lovsan-A）は、2003年8月11日月曜日午後に感染拡散を開始したWindowsネットワークワームで、Windows 2000/XP/Server 2003のDCOM RPC脆弱性CVE-2003-0352（Microsoft Security Bulletin MS03-026）を悪用してTCPポート135経由で自動拡散するネットワーク型ワーム。Microsoftが脆弱性を公表したのは2003年7月16日（パッチ提供開始）、それから26日後の8月11日にBlasterが現れる「パッチ適用と攻撃のタイムレース」の代表事例で、累計800万PC感染・RPCサービス強制再起動による60秒カウントダウン+自動再起動の症状で広く認知された。ワーム実行ファイルmsblast.exe内には「I just want to say LOVE YOU SAN!! billy gates why do you make this possible? Stop making money and fix your software!!」という制作者の挑発文が含まれ、Microsoft Bill Gatesへの直接攻撃メッセージとして話題に。制作者は2003年9月に18歳のミネソタ州Jeffrey Lee Parsonが逮捕され、2005年に18ヶ月収監判決、ただし初代開発者は別の高度技術者と推定され特定されないまま。Microsoftは$250,000の懸賞金を提供。後継Sasser Worm（2004年4月、Sven Jaschan制作）と並ぶ2003-2004年の「Windows ネットワークワーム時代」の代表作で、これを契機にMicrosoftはWindows XP SP2（2004年8月）でWindowsファイアウォール標準有効化+Automatic Updates強化を実施し、Windowsセキュリティ哲学が大転換した重要な歴史的事件。
主な特徴・仕組み
- 種類: Windowsネットワーク型ワーム
- 感染日: 2003年8月11日月曜日
- 悪用脆弱性: CVE-2003-0352（DCOM RPC、Microsoft MS03-026）
- パッチ提供日: 2003年7月16日（感染開始の26日前）
- 拡散方法: TCPポート135（DCOM RPC）経由のスキャン+リモートエクスプロイト
- ペイロード: msblast.exe（6,176バイト）、Windows再起動連発
- 制作者: Jeffrey Lee Parson（18歳ミネソタ、コピーキャット版）
- 累計感染: 800万PC以上
- Microsoft懸賞金: $250,000提供
- 影響: Windows XP SP2でファイアウォール標準有効化の起点
スペック比較表
| ワーム | 感染年 | 悪用脆弱性 | 累計感染 | 被害額 |
|---|---|---|---|---|
| Blaster | 2003/08 | CVE-2003-0352 (DCOM RPC) | 800万PC | $1.3B |
| Sasser | 2004/04 | CVE-2003-0533 (LSASS) | 100万PC | $500M |
| Welchia | 2003/08 | 同 + ICMP | 不明 | 不明 |
| Conficker | 2008/11 | CVE-2008-4250 | 1,000万PC | $9.1B |
| MyDoom | 2004/01 | メール+SMTP | 200万感染 | $38B |
具体例・対応製品
- Blaster.A（2003年8月11日）: オリジナル、msblast.exe
- Blaster.B/D/F（2003年8月-9月）: 派生変種多数
- Welchia/Nachi（2003年8月18日）: 「治療型」変種ワーム
- 対策 Microsoft MS03-026パッチ（2003年7月16日）: CVE-2003-0352対応
- 対策 Windows XP SP2（2004年8月25日）: ファイアウォール標準有効
- 対策 Norton Internet Security 2004: ファイアウォール統合
- 対策 ZoneAlarm Pro: 当時の人気個人FW
自作PCでの選び方・注意点
Blaster Wormは現代のWindows 11/10では完全無効化（CVE-2003-0352パッチ適用済み、Windows DefenderとSmartScreenで遮断、デフォルトFW有効）。歴史的研究ではWindows XP+VMware等の隔離環境で再現可能だが、製造から22年経過のXPは現代インターネット直接接続不可（即座に他のマルウェアに感染）。現代のネットワークワーム対策として、Windows Update自動適用・Defender Antivirus・Windowsファイアウォール常時有効・SMBv1無効化・RPC over UDPブロックの複合防御が標準。Blaster事件はサイバーセキュリティ教育の必須教材として、特に「パッチ適用とゼロデイ・Nデイ攻撃のタイムレース」の文脈で頻繁に言及される。
関連用語との違い
Sasser Worm（2004年4月、Sven Jaschan制作、ドイツ18歳）はBlasterと類似のWindowsネットワークワームだがLSASS脆弱性CVE-2003-0533悪用で、Blasterの後継的位置づけ。Welchia/Nachi（2003年8月18日）は「Blasterに感染したPCを自動修復してパッチ適用する自称治療型ワーム」だが、結果的にネットワーク負荷を増大して問題に。Conficker（2008年11月）は世代後のWindows脆弱性（CVE-2008-4250）悪用でより高度。
よくある質問（FAQ）
Q1: なぜパッチ提供から26日で感染が拡大した？ A: 2003年当時のWindows Updateは「自動」が標準ではなく手動適用が一般的、企業環境ではテスト後展開で2-3ヶ月遅延が普通でした。CVE-2003-0352パッチ適用率は2003年7月-8月時点で30%程度に留まり、パッチ未適用機が大量残存していたためです。
Q2: msblast.exeの「Bill Gatesへのメッセージ」は本当？ A: ワーム本体に含まれる文字列「I just want to say LOVE YOU SAN!! billy gates why do you make this possible? Stop making money and fix your software!!」は実在で、制作者の心情吐露です。MicrosoftとビルゲイツのWindows品質を直接批判する内容でした。
Q3: 18歳のJeffrey Parsonは初代開発者？ A: 違います。Parsonは公開後のBlaster.B変種を改造して再公開したコピーキャット犯で、初代Blaster.Aの真の開発者は2024年現在も特定されていません。Parsonは18ヶ月の連邦刑務所収監判決を受けました。
まとめ
- 2003年8月11日感染開始・Windows DCOM RPC悪用ワーム
- CVE-2003-0352（MS03-026）から26日後の感染開始
- 累計800万PC感染・60秒カウントダウン再起動症状
- Microsoft$250,000懸賞金・Parson 18歳18ヶ月収監
- Windows XP SP2のFW標準有効化の歴史的転換点