InternetExplorerでサイトを閲覧するだけで感染する場合も

• Download.Ject に関する情報（Microsoft）
• ウェブサイトにアクセスしただけで感染--IEユーザーに警告（CNET Japan）
• 大手サイトに仕込まれたトロイの木馬に要注意（ITmedia）
• マイクロソフト、パッチ未適用のサーバーが感染する危険なコードを警告（INTERNET Watch）
• IISサーバーへの不正侵入が頻発，Webページに不正なスクリプトを埋め込む（IT Pro）
• http://www.st.ryukoku.ac.jp/~kjm/security/memo/2004/06.html#20040625_IIS

InternetExplorerでサイトを閲覧していると、ある場合にウイルスのようなプログラムに感染させられてしまうことがあるそうです。

まだよく理解できていないのですが、次のようなシナリオのようです。

1. 修正プログラム未公開の IE の欠陥を突く JavaScript を仕掛けた web サイトが用意されており、
2. その JavaScript を IE でアクセスすると自動的にバックドアを仕掛けられ、
3. そのバックドアから MS04-011 patch が適用されていない IIS がヤラレ、
4. ヤラレた IIS にも修正プログラム未公開の IE の欠陥を突く JavaScript を仕掛けた web ページが用意され、(以下くりかえし)

サーバを公開していない一般のWindowsユーザにとって怖いのは上の第1段階ですが、この部分については修正プログラムが公開されていないため、すぐに安心できる方法はありません。よく「怪しいサイトは見ない」という対策が言われることがありますが、今回のような場合には無効となってしまいますので、別の策を考える必要があります。対症療法的な方策としては以下のようなものがあるようです。（確実かどうかは不明です。）

できるだけスクリプト機能を無効にしておきたい。スクリプトを無効にしていれば，今回のようなスクリプトが埋め込まれたページや，スクリプトを使って悪さをしようとしているページを閲覧しても被害に遭わない。US-CERTでは今回の件を踏まえて，「スクリプトを無効にすると利用できなくなるページがあるが，本当に必要な場合以外は無効にすることを勧める」としている。

IEでJavaScriptを無効にするには「ツール」→「インターネット オプション」→「セキュリティ」→「レベルのカスタマイズ」から「スクリプト」の項目を無効に設定してください。

また、IEを標的にした攻撃から逃れるには、他のブラウザを利用することも有効です。

一方、普通のインターネットユーザーには、わずかながらも対処の方法が残されている。Windowsユーザーは、MozillaやOperaといった代替となるブラウザをダウンロードして使うという手がある。また、Macユーザーにはこの攻撃の危険は及ばない。