エフセキュアブログ : 2011年10月

2011年10月

Trojan:SymbOS/OpFake.A

2011年10月28日02:35

以下は「Trojan:SymbOS/OpFake.A」に関する昨日の記事に関連したテクニカル分析だ。

　「OpFake.A」は、「OperaUpdater.sisx」および「Update6.1.sisx」などのファイル名を使用する、Opera Miniアップデータと思われるファイルとして到着した。このマルウェアインストーラは、アプリケーションメニューにOperaアイコンを追加する。実行すると、メニューおよび偽のダウンロードプログレスバーを表示する。

Opera Updater 56%

　プログレスバーの表示…　このインストーラはファラデールームの内部で実行されたのに。

　同マルウェアは表示可能な「ライセンス」も有している。トロイの木馬が開始され、被害者がメニューのどれかを通じて先へ進む以前に、このトロイの木馬はロシアのプレミアム料金を課すナンバーに、テキストメッセージを送信している。ナンバーとメッセージのコンテンツは、暗号化されたコンフィギュレーションファイル（sms.xml）から来ている。

　「OpFake.A」のSymbianバージョンは、それがアクティブでいる短時間に、SMSメッセージのモニタも行い、受信メッセージを削除し、メッセージは電話番号とメッセージのコンテンツにもとづき、送信メッセージフォルダに移動される。到着するSMSメッセージの妨害を処理するコードは、「Trojan:SymbOS/Spitmo.A」にものとほとんど同じだ。「OpFAke.A」のその部分は、明らかに「Spitmo.A」とソースコードを共有している。

　「OpFake.A」は、以前それが実行されたかどうかを追跡し、初めて実行される場合以外は何もしない。

　「OpFake」トロイの木馬は攻撃者自身が作成した証明書を使用して自己署名されている。証明書の所有者はJoeBloggsで、同社はacmeだ。これらの名前は、証明書を作成するためのWebサイトに例として使用されたため、同じ所有者名、企業名を持つ証明書で署名された、悪意あるファイルではないものも存在する。

　「OpFake」ホストサーバの異なるパスに、異なるファイル名（OperaUpdater.sisx、Update6.1.sisx、jimm.sisx）を使用した、多数の亜種が存在する。パスの一例は [IP Address]/builder/build/gen48BF.tmp/OperaUpdater.sisx だ。「gen」と「.tmp」の間の4文字はパスの変動部分だ。

　同じサーバ上の異なるパスに、同マルウェアのWindows Mobileバージョンもある。たとえば：[IP Address]/wm/build/gen7E38.tmp/setup.CAB だ。こちらも、ランダムなパスのもと、様々なバージョンが存在する。現在、「wm/build」以下にランダムな名称を持つ5000以上のフォルダがある。

　以下は、解読されたコンフィギュレーションファイルの例2種。最初のものはSymbianの亜種で、2番目はWindows Mobileの亜種だ。「ナンバー」と「テキスト」によるエントリは、メッセージが送信される電話番号と、メッセージのコンテンツを表している。

OpFake configguration files

SHA-1: 2518a8bb0419bd28499b41fad2089dd7555e50c8

＞＞原文へのリンク

OpFake：「Spitmo」とコードをシェアするプレミアム料金SMSトロイの木馬

2011年10月27日02:10

sean_sullivan

ヘルシンキ発

by：ショーン・サリバン

　今年我々が分析した中で、興味深いものの一つに「Spitmo」がある。「SpyEye in the mobile」を省略したものだ。

　悪名高いBanking Trojan「SpyEye」のいくつかのバージョンが、コンピュータベースのマン・イン・ザ・ブラウザ攻撃に対するモバイルベースの防御である「mTAN」に直面すると、反撃が提供された。それが認証プロセスを回避するモバイル版トロイの木馬「Spitmo」だ。

　これは巧妙なテクニックとコードを使用する、かなり興味深いクロスオーバー攻撃だ。

　だから、エフセキュアのアナリスト2人が最近、自分達が開発した新しいSymbianオートメーションを動作させた時、彼らが最初にしたことはそれに「Spitmo」を入れることだった。そして結果は非常に驚くべきものだった。

　我々の新しいシステムは「Spitmo」とコードを共有している54種のサンプルを発見したが、Spitmoはなかった。これら「Spitmo」の「いとこ」たちは、ロシアの携帯電話ユーザ（ロシアのSMSショートコードを使用する）を標的とする、プレミアム料金SMSトロイの木馬だ。（笑）我々はこれらのトロイの木馬を「OpFake」と名付けた。インストーラが「Opera Mini」（OperaUpdater.sisx）だと主張するためだ。

　しかしこれは話の一部にすぎない。

　OpFake Symbianバイナリを分析した結果、我々はIPアドレスを発見し、そのアドレスを検索すると、5000以上のサブフォルダを含む公開フォルダを介して、「OpFake」のWindows Mobileバージョンにもアクセス可能なサーバがオンラインであることが分かった。各サブフォルダは暗号化された固有のコンフィギュレーションファイルを含んでいる。これらのフォルダは、Symbianフォルダにアクセスできないため、コンフィギュレーションエラーが原因で可視の状態なのでないかと思う。

OpFake：「Spitmo」コンポーネント、Symbian、Windows Mobile（おそらくは他のOS？）、プレミアム料金SMSメッセージを使用…　誰かがサンクト・ペテルブルグにあるサーバから、かなり先進的なオペレーションを実行している。

　同サーバのIPアドレスはCERT-FIに報告された。

　「OpFake」バイナリの技術的な分析とサーバのフォルダ構造の詳細は、明日掲載する。

＞＞原文へのリンク

内部犯行 vs 内部告発 -- 内部情報流出をどのように捉えるのか

2011年10月26日13:25

gohsuke_takama

オフィシャルコメント

by：高間剛典

情報セキュリティの脅威のひとつに、かねてから内部者による犯行が挙げられて来た。その時によく例に挙る想定犯人像は、不満を持つ従業員や解雇者だった。ところが会計監査会社KPMGの調査を基にした最近の記事によると、この想定がどうやら当っていないことがわかる。KPMGが監査で関わった69ヶ国の企業348件での不正事件を調査したところ、CEOが犯行に及んだものが26%にのぼり、2007年の11%から比べて上昇しているのだ。また内部犯行に関わった従業員の32%は役員を含む会計部門だった。ちなみに最も「不満を持つ従業員」の想定に当たりそうな18～25歳の犯行は2%だと云う。
CEOs - the new corporate fraudsters http://www.iol.co.za/sundayindependent/ceos-the-new-corporate-fraudstersds-1.1144649

実際に日本でも、光学機器メーカーのオリンパスで現在起きている、日本人役員によるイギリス人マイケル・ウッドフォード社長CEOの突然の解職と、ウッドフォード氏が指摘しているオリンパスが近年行った不審な企業買収や、その際に2008年に支払ったファイナンシャル・アドバイザーへの6億8700万ドル(現在のレートで約520億円)の不透明な行方が問題になっているが、既にアメリカでもFBIが捜査に動き出すなど、これはエンロン社で起きたような経営陣による大きな企業不正会計事件に発展する可能性がある。この場合、もしかするとCEO以外の経営役員がすべて不正に関与していたかもしれない状況で、CEOが自ら内部告発者になったという事になる。

さらに、昨年から大きく注目を集めている内部告発情報流出サイト「Wikileaks」による「Collateral Murder」などアメリカ軍や政府の公電情報の流出や、その効果を見て後に続き立ち上がっている様々なリークサイトの動きもこれに重なっている。これらには、ロシアに特化したRusleaksのような活動家が始めたサイトから、中東Al Jazeeraのような大手ニュースメディアが立ち上げた内部告発受付サイトまである。さらにアノニマスが立ち上げた内部告発活動のAnonymous Analyticsまで出現した。これらのサイトを使う事で内部告発は今までになく容易で安全な行為になりつつある。
http://wikileaks.org/
https://rusleaks.org/
http://transparency.aljazeera.net/
http://anonanalytics.com/

ところがここで内部情報流出について見てみると、内部犯行の場合と内部告発の場合とでは対立している事が解る。

企業や組織の内部規則や情報セキュリティポリシーなどは、その組織が犯罪や反社会的行為に携わらない状態を前提としている。そのため通常ならば企業や組織の内部情報を外部に流出させることは内部犯行として捉えられる。しかしもし企業や組織が犯罪や反社会的行為に手を染めているなら条件は同じではなく、企業や組織の内部情報を外部に流出させることは内部告発の場合がありうる。

もしあなたが企業や組織の情報セキュリティ担当者なら、情報流出の第1発見者になる可能性が高いかもしれない。だが、発見したものが経営陣の不正の証拠になる通信内容やその内部告発だったならば、それをそのまま組織に報告してしまえるだろうか?

もしここであなたが内部告発の情報流出を発見したとして、流出を食い止めて潰してしまえば、それは犯罪行為の進行に関与するのと同義になり共犯者の立場に置かれてしまうかもしれない。あるいは、あなた自身が経営陣の内部犯行の通信を目にしたなら、そこであなたが自身の身を案じて内部告発を行わなければその情報は法執行機関に届かず、しばらくは平穏を保てるかもしれない。だが、最終的に不正が明るみに出た場合にはあなたは事態を知らなかったとは言えず、やはり共犯者の立場に置かれてしまうかもしれない。

情報流出は、それが内部犯行か内部告発なのかによって、あなたの判断次第で将来に大きな影響を及ぼすものだと理解しなければならないだろう。「私は規則に従っただけ」という言い訳が通じない事態が将来ありうるのだから。

「DroidKungFu」がアップデート攻撃を利用

2011年10月25日15:28

fsecure_corporation

クアラルンプール発

by：スレットソリューションチーム

　我々は昨日、新たな感染ベクタを使用するとおぼしき「DroidKungfu」サンプルに関する簡単な記事を投稿した。

　お約束通り、より技術的な詳細をご紹介する。

DroidKungFu, Chinese market

　我々が分析しているアプリケーションは「com.ps.keepaccount」という名で、そのコンテンツをざっとチェックしたところ、二、三のことが明らかになった。

　最初に見たところ、オリジナルのアプリケーション（SHA-1: 5e2fb0bef9048f56e461c746b6a644762f0b0b54）に「DroidKungFu」の痕跡は無い。

DroidKungFu, Original install

　コンテンツとインストールのパーミッション

　いったんインストールされると、同アプリケーションはユーザにアップデートが入手可能だと知らせる。そしてユーザがこれをインストールすると、アップデートされたアプリケーションは、「DroidKungFu」マルウェアで発見されたのとよく似た追加機能を獲得する。

　以下のスクリーンショットは、アップデートプロセスで何が起きるかを示している：

droidkungfu_update1

　オリジナルバージョンと比較して、アップデートされたアプリケーションは、SMSおよびMMSメッセージと、デバイスのロケーションにアクセスできるよう、さらに2つのパーミッションを要求した。

　パーミッションの違いは、アップデートが悪意あるものかどうかを見分ける最良の方法ではないかもしれないが、それでもアプリケーションのアップデートが、別のパーミッションを要求しているかどうか、注意し、疑ってみることは良い方法だ。

　さらに重要なのは、アップデートされたアプリケーションは、ルート権限を得るためにエクスプロイトを使用し、それによりさらに意図せぬ行為が遂行される可能性が生じることだ。

　最後のスクリーンショットで、同アプリケーションが突然停止したことが示されている。これはおそらく、この「DroidKungFu」の亜種がまだ「Android OS version 2.2」用のエクスプロイトを使用しており、テストした端末は「Android OS version 2.3」を使用しているためのエラーが原因だろう。

　以下は、アップデートされたアプリケーションのソースを示す、アップデートプロセス中のパケットキャプチャだ：

droidkungfu_packet_capture

　「SHA-1: 7cd1122966da7bc4adfabb28be6bfae24072c1c6」でアップデートされたアプリケーションのコンテンツのクイックビュー

droidkungfu_encrypted_apk

　この「init.db」ファイルは、実は「DroidKungFu」のスタンドアロンコピーで、データベースファイルではなく、ルート権限を獲得するとアプリケーションがインストールする暗号化されたAPKファイルだ。

　このアプリケーションが実際「DroidKungFu」であることを確認するため、コードを見てみよう：

droidkungfu_verify

　「WP」は、ASCII表示である解読のためのキーで、コンバートされると「Deta_C1*T#RuOPrs」になる。

　更に検証を行ったところ、このアプリケーションが実際に「DroidKungFu」の亜種であることが分かった。我々はこれを2011年8月18日から、「Trojan:Android/DroidKungFu.C」として検出している。

　サンプル（アップデートの前と後の両方）の検証カバレッジをVirusTotalでチェックしたところ、以下の結果が得られた。自身を「DroidKungFu」にアップデートするオリジナルのアプリケーション：

droidkungfu_old_vtscan

　そしてアップデートされたアプリケーション：

droidkungfu_updated_vtscan

Threat Solutions post by /mdash; Zimry, Irene and Yeh

—————

10月25日の追記：この記事は、スクリーンショットに関連する詳細を修正するため、編集された。すなわち、最初の数パラグラフは、このトピックが昨日の記事に関連していることをハッキリさせるため書き直され、リンクはスクリーンショット付きでVirusTotalのスキャンレポートに置き換えられた。

＞＞原文へのリンク

あなたが探しているDroidアップデートは存在しない

2011年10月25日04:16

sean_sullivan

ヘルシンキ発

by：ショーン・サリバン

エフセキュアのThreat Solutionsチームが今日、Android向けの新しい「感染ベクタ」を使用した興味深い脅威を発見した。

　この7月、彼らは「Spyware:Android/SndApps」を分析したが、これはアップデート後、様々な個人情報にアクセス可能になった。アップデート前は、「インターネット」パーミッションを要求するのみだ。ユーザは自分のスマートフォンに既にインストールされているアプリケーションをアップデートする際、パーミッションをあまり注意深くチェックしないのではないかと思う。

　したがって、アップデート方式を介したこのパーミッションのエスカレーションを念頭に置き、同チームは同じトリックを試みる悪意あるアプリケーションのモニタリングを行ってきた。そして今日…彼らは一つ見つけた。

　分析は現在進行中だ。

　我々が現時点で言えることは、オリジナルのアプリケーション（サードパーティのマーケットからダウンロードされた）に、悪意あるコードはないということだ。いったんインストールされると、同アプリケーションはすぐに、アップデートが入手可能であるとユーザに知らせる。そしてその「アップデート」が、「Trojan:Android/DroidKungFu」の亜種をインストールするのだ。

　さらに、オリジナルのアプリケーションの開発者は、自分達のアプリケーションがDroidKungFuダウンローダとして使用されることを意図していたのかどうか、という問題もある。おそらく、開発者のバックエンドが改ざんされたのだろう。

　我々は同アプリケーションを「Trojan-Downloader:Android/DroidKungFu.E」および「Trojan:Android/DroidKungFu.C」として検出している。

SHA-1: 5e2fb0bef9048f56e461c746b6a644762f0b0b54

　我々は技術的な詳細を追加するほか、次回の記事で、この「アップデート攻撃」に関するスクリーンショットを掲載する予定だ。

＞＞原文へのリンク

銀河系の衝突

2011年10月21日21:09

mikko_hypponen

ヘルシンキ発

by：ミッコ・ヒッポネン

　「Duqu」は情報を盗むバックドアを含んでいる。このようなInfostealerは、何らかの形で盗んだ情報を送り返す必要がある。慎重なInfostealerは、誰かがネットワークトラフィックを監視している場合に備えて、情報の転送を害のないものに見せようとする。「Duqu」の場合、通常のWebトラフィックに見せかけることで、自身のトラフィックを隠そうとする。

　「Duqu」はサーバ（206.183.111.97 別名「canoyragomez.rapidns.com」で、これは以前インドにあった）に接続し、httpリクエストを送信する。同サーバはブランクのJPG画像で応答する。その後、「Duqu」は「dsc00001.jpg」という名の56KB JPGファイルを送り返し、盗んだ情報（AESで暗号化）を画像ファイルの最後に追加する。

　誰かがアウトバウンド・トラフィックを監視していても、これはあまり不自然には見えない。

　「Duqu」コンポーネントには異なるJPGファイルが含まれる。その一つが以下の画像だ：

　これは2つの銀河系の衝突を示すNASAの画像だ。

　何故この画像なのだろう？

　我々をやっつけるという意味か。

　読者の方で、何か考えがある人はいるだろうか？

　「News from the Lab」の記事コメント欄に、あなたの考えを投稿して欲しい。手始めとなるセオリーがここにある。

＞＞原文へのリンク

世界中の技術者とセキュリティスペシャリストを目指しませんか？

2011年10月21日13:09

risa_ozaki

東京発

by：尾崎リサ

エフセキュアは、フィンランドで1988年に産声を上げて以来、23年にわたりセキュリティに取り組んでいる業界の老舗で、世界規模でセキュリティサービスを提供しています。エフセキュア株式会社は、エフセキュア社100%出資の現地法人として設立され、以降、順調に企業規模を拡大しており、2009年5月に日本法人設立満10周年を迎えています。

そんなエフセキュア株式会社で、新たにエンジニアを募集することになりました！

自らの経験を生かし、幅広い視野を持ちながら、日々進化するセキュリティ脅威に対応するエフセキュアの最先端の技術をビジネスパートナーへ届け、共にビジネスの拡大を目指してチャレンジできるポジションです。

担当して頂くのはパートナーおよびユーザーへ製品やソリューションを技術的な観点からプロモーションしていくSE(セールスエンジニア)業務。グローバルカンパニーであることを生かし、各国のSEとのコミュニケーションが必須で、活躍の場はグローバルに拡がります。

詳しくはこちら

我こそはっ！とおもわれる志のある方、ご応募お待ち致しております。

タグ：: エフセキュア; エンジニア; 人材募集

Macのトロイの木馬がXProtectアップデートを停止

2011年10月19日16:46

fsecure_corporation

クアラルンプール発

by：スレットソリューションチーム

　Macマルウェア開発に新たな何かが起きようとしている（またもや）。

　最近のリサーチで、「Trojan-Downloader:OSX/Flashback.C」がAppleのOS Xビルトイン・アンチマルウェア・アプリケーション「XProtect」の自動アップデータコンポーネントを使用不能にすることが分かった。

　まず「Flashback.C」は、ボディでハードコードされた「XProtectUpdater」ファイルのパスを解読する：

xprotectupdater_plist, Trojan-Downloader:OSX/Flashback.C

xprotectupdater_plist, Trojan-Downloader:OSX/Flashback.C

「Flashback.C」が「XProtectUpdater」のplistファイルのパスを解読

xprotectupdater, Trojan-Downloader:OSX/Flashback.C

「Flashback.C」が「XProtectUpdater」バイナリのパスを解読

　同マルウェアは次に、「XProtectUpdater」デーモンをアンロードする：

unload1, Trojan-Downloader:OSX/Flashback.C

　最後に同マルウェアは「XProtectUpdater」ファイルを" "キャラクタで上書きする：

wipe_xprotectupdater_plist, Trojan-Downloader:OSX/Flashback.C

「Flashback.C」が「XProtectUpdater」のplistファイルを上書き

wipe_xprotectupdater, Trojan-Downloader:OSX/Flashback.C

「Flashback.C」が「XProtectUpdater」バイナリを上書き

　上述の処理は特定のファイルを消去し、「XProtect」が今後のアップデートを自動的に受けれないようにする。

　システムの防御手段を無効にしようとすることは、マルウェアでは非常に一般的な戦術だ。そしてビルトインの防御手段は当然、どのようなコンピューティングプラットフォームでも最初の標的となる。

Threat Solutions post by — Brod

＞＞原文へのリンク

Duqu - Stuxnet 2

2011年10月19日04:33

mikko_hypponen

ヘルシンキ発

by：ミッコ・ヒッポネン

　今日大きなニュースがあった。

　「Stuxnet」のソースコードにアクセスした誰かにより作成された、新しいバックドアが発見されたのだ。

　「Stuxnet」のソースコードは世間に出回っていない。元々の作者だけが持っている。ということは、この新たなバックドアは、「Stuxnet」を作成した関係者によるもの、ということになる。おそらくは、歴史上最も重要なマルウェアである「Stuxnet」についての再確認は、我々のQ&Aをご覧頂きたい。

　「Stuxnet」とは異なり、「Duqu」として知られる新たなバックドアは、オートメーション、あるいはPLCギアを標的としていない。その代わり、同バックドアは予備調査のために使用される。「Duqu」は感染したシステムから、将来の攻撃のため、さまざまな情報を収集する。最終的には、「Duqu」により集められた情報をもとに、PLCシステムを標的とした新たな攻撃が行われる可能性がある。

　「Duqu」と「Stuxnet」のコードの類似は明らかだ。「Duqu」のカーネルドライバ（JMINET7.SYS）は、「Stuxnet」のドライバ（MRXCLS.SYS）と非常に似ており、我々のバックエンドシステムは実際、それを「Stuxnet」と認識した：

Duqu / Stuxnet 2

　「Stuxnet」ドライバは、「RealTek」および「JMicron」という名の台湾の企業に帰属する、盗まれた証明書で署名されている。

　「Duqu」は、「C-Media Electronics Incorporation」という台湾の企業に帰属する、盗まれた証明書でサインされたドライバを有する。

　このドライバはしかし、現在も「JMicron」からのものだと主張している。

Duqu / Stuxnet 2

　「Duqu」に関するリサーチで今のところ最良のものは、Symantecによるものだ。彼らはしばらく調査を行っており、今日、これに関する46ページのホワイトペーパーを公開した。

　「Duqu」は米国政府により書かれたのか？　あるいはイスラエルか？　我々には分からない。

　標的はイランだったのか？　我々には分からない。

　エフセキュアアンチウイルスは「Duqu」を「Gen:Trojan.Heur」検出の一つで検出している。

PS.　偶然にも、「ISS Source」というWebサイトが今日、Google、MicrosoftおよびOracleにより作成された新たな「Stuxnet的ワーム」に関して述べている混乱した記事を発表した。我々はこの記事が正確だとは思わない。

追記：「Duqu」の分析を含む解説をWebに掲載した。

　上記で言及された同ファイルのSHA-1ハッシュは以下の通り：

jminet7.sys – d17c6a9ed7299a8a55cd962bdb8a5a974d0cb660
netp191.PNF – 3ef572cd2b3886e92d1883e53d7c8f7c1c89a4b4
netp192.PNF – c4e51498693cebf6d0cf22105f30bc104370b583
cmi4432.PNF – 192f3f7c40fa3aaa4978ebd312d96447e881a473
cmi4432.sys – 588476196941262b93257fd89dd650ae97736d4d
cmi4464.PNF – f8f116901ede1ef59c05517381a3e55496b66485
trojan-spy – 723c71bd7a6c1a02fa6df337c926410d0219103a

＞＞原文へのリンク

「プライバシーは情報フローを管理する方法である。」

2011年10月18日22:02

sean_sullivan

ヘルシンキ発

by：ショーン・サリバン

　人々はどうして、自分の個人情報を赤の他人に与えることをいとわないのだろう？

　それは人間が情報を共有したいと考えるからだ。そして実際、所有物やサービスといった「もの」よりも、ずっと気楽に情報をシェアしている。

　以下のうち、あなたがもっとも、あまり考えずに提供しそうなものはどれだろうか？

  •  見知らぬ人にバス停の方向を教える（情報）
  •  見知らぬ人をバス停まで連れて行く（サービス）
  •  見知らぬ人にバス代をあげる。（所有物）

　あなたが多くの人と同様なら、躊躇無く方向は教えても、自分のお金をあげることには抵抗するだろう。

　そしてこれが、発達した人間社会の仕組みだ。中でも我々は特に情報を共有する。何故なら、それはほとんどコストがかからず、社会がより効率的に機能するのに役立つからだ。

　この考えは、クレイ・シャーキーが2010年、South by Southwest（SXSW）で発表したものだ。シャーキーは何度もTEDトークを行っており、テクノロジーの社会への影響に関する思索で広く尊敬されている。プライバシーに関する話題に興味があるなら、シャーキーが2008年の「Web 2.0 Expo NY」で行ったプレゼンテーション「情報洪水などない。それはフィルタリングの失敗だ」を見るべきだ。

　このプレゼンテーションで、シャーキーは「プライバシーは情報フローを管理する方法だ」という所見を述べている。シャーキーによれば、我々がプライバシーに関して直面している大きな問題は、我々が設計された一つのシステムから、異なる特性を持つ他のシステムに移行するのではなく、徐々に発達したシステムから設計されたシステムに移行している、という事実を中心に展開しているということだ。

　「プライバシーを管理すること」は、自然な行為ではない。

　昔、プライバシーは、人々をスパイすることが簡単ではなかったことで維持されていた。Facebookのようなプラットフォームは、新たに独特な問題を生み、そして古くから存在するフィルタを一新するのではなく、むしろ新たなソリューション（フィルタリング）が必要となる。

YouTube：情報洪水などない。それはフィルタリングの失敗だ。

＞＞原文へのリンク

ミッコ @ TEDxRotterdam

2011年10月14日23:08

sean_sullivan

ヘルシンキ発

by：ショーン・サリバン

　今週、ミッコが「TEDxRotterdam」に出席した。

　ここでビデオを見る事ができる：

　その他のビデオとインタビューは、エフセキュアのYouTubeチャネルでご覧頂ける。

＞＞原文へのリンク

「Anonymous」は現在もハクティビスト集団なのか？

2011年10月14日02:40

sean_sullivan

ヘルシンキ発

by：ショーン・サリバン

　「Anonymous」として知られるインターネット集団のメンバーは、しばしば、政治的ハッカーを意味するハクティビストと言われている。しかし本当にそうなのだろうか？

　あるいは、本当にアクティビスト、すなわち活動家（もともとはそうだった）なのだろうか？

　我々はTwitterのさまざまな「Anonymous」ニュースアカウントをフォローしているが、その下位集団「LulzSec」が衰退して以来、「Anonymous」はオンライン攻撃やハッキングから、ウォール・ストリートのような現実世界の抗議行動に移行している。

　8月15日に、我々は「Anonymous」の「OpBritian」と「OpBART」に言及した。オペレーションBARTは、かなり功を奏したイベントで、ウォール・ストリートデモの先駆けの一つだ。オペレーションBritianは、10月15日土曜日の予定だった。今週の土曜日である。

　我々は大した変化があるとは考えていなかった。

　しかしウォール・ストリートの抗議行動が成功したことで、オペレーションBritianは地球規模のデモに拡大された。

Anonymous: Occupy The Planet

　世界中で何百もの集会が予定されており、ここ、フィンランドのヘルシンキでさえ1つある。

Occupy Helsinki

　来年の今頃には、ハクティビストではなく、我々は皆、「Anonymous」が「ソーシャルメディアに精通した」アクティビスト集団だと考えていることだろう。

＞＞原文へのリンク

三菱重工を襲ったサイバー・クライム

2011年10月13日10:33

daiki_fukumori

オフィシャルコメント

by：福森大喜

三菱重工を狙ったサイバー攻撃が明らかになったことを受けて、書籍「サイバー・クライム」の著者ジョセフ・メン氏からコメントが届きました。

『先日三菱重工を襲った一連のサイバー攻撃は、日本にとっては前例のない出来事だったかもしれないが、過去数年間にわたり、米国をはじめとする多くの国の防衛産業が直面した攻撃手法に酷似している。それらの攻撃を分析すると、多くは中国につながる。著書「サイバー・クライム」においても度々言及しているが、サイバー犯罪者と国家のスパイ活動の境界線はますますあやふやになっており、個人や企業はもちろん、国家間の政治的な均衡までが危険にさらされているといえよう。』

「サイバー・クライム」を日本で発売するにあたり、初めてメン氏と対談したのが2011年2月でした。アノニマス、ソニーが世間を騒がせ始めた頃です。彼は対談の中で、今後サイバー攻撃の標的にされうる企業として、国家の安全に関わる事業を担っている企業を複数挙げました。その中には三菱の名前も含まれていました。これは決して偶然ではなく、彼がジャーナリストとして行った膨大な調査から導き出された必然的な結果だと思います。

そしてついに、書籍「サイバー・クライム」が発売になりました。対談の様子も収められています。
表紙と目次です。
cybercrime

はじめに
本格的に日本を襲い始めたサイバー・クライム

PART1
1 ウォーゲーム
2 サイバー潜入捜査
3 裏社会の深部へ
4 決意
5 清算
6 サイバー・クライムの歴史　スパムから個人情報へ

PART2
7 すべてを賭して
8 デイ・オブ・アクション
9 闇のマーケット
10 裁判
11 犯罪を超えた犯罪
12 今、なにができるか

巻末特別対談
中国・ロシアのハッカーを警戒せよ
ジョセフ・メン×福森大喜

Macのトロイの木馬Flashback.B Checks for VM

2011年10月12日21:55

fsecure_corporation

クアラルンプール発

by：スレットソリューションチーム

　エフセキュアのアナリストの一人が、自身を「Adobe Flash Player」のアップデートだと勘違いさせようとするMac向けトロイの木馬「Flashback」の最新バージョンのデバッグ中に、興味深いものを発見した。

　「Flashback.A」と「Flashback.B」の違いを比較している時に、彼は以下のルーチンを見つけた：

vmcheck, Trojan-Downloader:OSX/Flashback.B

vmcheck, Trojan-Downloader:OSX/Flashback.B

　「Flashback.B」は「vmcheck」を実行する。仮想化が検出されると、トロイの木馬は自身を停止するのだ。

　AppleはLionでユーザーが2つの仮想化環境を動作させることを可能にした。

　VMウェア・アウェア・マルウェア（早口で10回言ってみよう！）は、Windowsエコシステム内でよく使用されるアンチリサーチテクニックだが、Macではまだ一般的ではない。Macマルウェアの作者は、リサーチャが分析中に仮想環境を使い始めることを予測し、このような取り組みを阻止する対策を講じているようだ。

Threat Solutions post by — Brod

＞＞原文へのリンク

ドイツ当局によるバックドアに関する追加情報：Case R2D2

2011年10月11日21:56

sean_sullivan

ヘルシンキ発

by：ショーン・サリバン

先週、ドイツ語ベースの「Chaos Computer Club」（CCC）が、ドイツの法律に反して当局が使用していると主張する、バックドア型トロイの木馬に関する詳細を発表した。

　そして、許可された範囲内でという但し書き付きで、ドイツのいくつかの州が「Backdoor:W32/R2D2.A」〔別名「0zapftis」）の使用を認めた。

　1つのケースでは、ミュンヘン国際空港で税関・出入国管理を容疑者が通過する際、彼のラップトップにトロイの木馬がインストールされた。

　以下は、このバックドアに関するさらなる詳細だ。

　CCCのレポートには、同バックドアのDLLおよびカーネルドライバの分析が含まれている。CCCはインストーラを入手できなかったようだ。（それは容疑者のコンピュータ上に、ローカルでインストールされたのかもしれない。）

　我々はインストーラを入手している。

　以下は、エフセキュアのマルウェア格納システムからのスクリーンショットだ：

　このインストーラファイルは「scuinst.exe」という名称だ。最初に発見されたのは2010年12月9日。

　「scuinst.exe」というファイル名で重要なのは何だろう？　これは「Skype Capture Unit Installer」の略語だ。「Skype Capture Unit」は、ドイツ、バイエルンのハイガー市にある「Digitask」という企業により開発された商用トロイの木馬の名称だ。Digitaskおよび「Skype Capture Unit」のバックグラウンドに関する詳細情報は、Wikileaksによるこれらのドキュメントを見て欲しい。そして以下は、ドイツの税関調査委員会が「Digitask」から2075256ユーロで監視サービスを購入したことを示している。200万ユーロだ。

　我々のシステム自動化は「scuinst.exe」が気に入らず、カスタマのコンピュータで自動的にブロックされるようセットした。「ヒューリスティック」カテゴリは、我々のオートメーションが、エフセキュアのアナリストが作成した規則に基づいて同ファイルを警告したことを示している。

　エフセキュアのカスタマで、「R2D2」にさらされた人はいるだろうか？

　いや。カスタマが一人としてこのバックドア（CCCの発表以前にインザワイルドだった）と遭遇していないことは、我々の統計に示されている。

　では、エフセキュアはどのようにしてインストーラのコピーを入手したのか？

　我々（そして他の多くのアンチウイルスベンダ）は、「virustotal.com」からファイルを受けとった。

　実際、このインストーラはVirustotalに何度か提出されている：

　では、多くのアンチウイルスベンダがインストーラを有しているのだろうか？

　そうだ。VirusTotalは、複数のアンチウイルスエンジンで疑わしいファイルを分析し、検出名のリストを提供するサービスだ。VirusTotalは協調的な取り組みで、参加者なら誰とでもサンプルのシェアを行う。

　検出が存在しなければ、プロテクションもないということなのか？

　いや。多くのアンチウイルス製品（たとえば「エフセキュアインターネットセキュリティ」）は、従来のシグネチャ検出に勝る、付加的なプロテクションのレイヤを有している。脅威がシグネチャ「検出」に対応していないからといって、プロテクションの他のレイヤによって「ブロック」されないということは意味しない。

　この場合、R2D2のインストーラは、従来のシグネチャデータベース検出が公開される前に、我々の「クラウド」レイヤによりブロックされていただろう。

　では、VirusTotalが誰とでもシェアするなら、バックドアを秘密にしておこうとしながら、そこにアップロードするのはバカげているのでは？

　そう。プロのマルウェア作者がブラックマーケットマルチスキャナを使用するのは、そうした理由による。

　では何故、R2D2の作者はそれを提供したのか？

　おそらく彼らがバックドアのインストーラを「テスト」するための方法として知っていた、唯一の方法だったのだろう。

　あるいは、バックドアのライフスパンと効果が減少しても、気にならなかったのかもしれない。

　あるいは、ドイツ政府（そしてバックドアを作成するのに雇われた企業）は、アンチウイルス業界が何をするか、そしてカスタマを保護するために、我々がどのように協力し合うかということを、よく理解していなかったのかもしれない。

　我々は全員参加しているのだ。

＞＞原文へのリンク

政府によるものとおぼしきバックドアを発見（「R2D2ケース」）

2011年10月09日05:42

mikko_hypponen

ヘルシンキ発

by：ミッコ・ヒッポネン

　ドイツの「Chaos Computer Club」が今夜、ドイツ政府により用いられたバックドア型トロイの木馬を発見したと発表した。

R2D2 backdoor trojan

　この発表は「ccc.de」で公表されたもので、同マルウェアの機能について20ページにわたる詳細な分析が行われている。PDFのレポートをダウンロード（ドイツ語）できる。

　問題のマルウェアは、DLLとカーネルドライバから成るWindowsバックドアだ。

　バックドアには、特定のアプリケーションを標的とするキーロガーが含まれている。対象となるアプリケーションは、Firefox、Skype、MSN Messenger、ICQなど。

　このバックドアは、スクリーンショットを撮り、Skypeの会話を含むオーディオ録音を目的としたコードも含んでいる。

　さらに、同バックドアは遠隔的にアップデートすることができる。接続するサーバには「83.236.140.90」や「207.158.22.134」がある。

　このバックドアを作ったのが誰なのか、そして何のために使用されたのかは分からない。

　CCCの調査結果を疑う理由は無いが、我々はこのトロイの木馬がドイツ政府により書かれたと言う事はできない。我々の知る限り、このことを確認できるのは、ドイツ政府自身以外にはない。

　政府によるバックドア、もしくは警察が「合法的な傍受」を行うトロイの木馬の検出に関するエフセキュアの包括的なポリシーについては、ここでお読み頂ける。

　我々はこれまでに、政府によるバックドアであると思われるサンプルを分析したことは一度も無い。また、いかなる政府からも彼らのバックドアを検出しないよう要請されたこともない。

　とは言え、我々はこのバックドアを「Backdoor:W32/R2D2.A」として検出している。

　「R2D2」という名称は同トロイの木馬内のストリング「C3PO-r2d2-POE」に由来する。このストリングは、トロイの木馬がデータ伝送を開始するために内部で使用される。

R2D2 backdoor trojan

　我々はこれが大きなニュースになると考えている。ドイツ政府から正式な回答が出される可能性がある。

MD5 hashes：930712416770A8D5E6951F3E38548691 and D6791F5AA6239D143A22B2A15F627E72

＞＞原文へのリンク

OWASP AppSec Conference

2011年10月07日09:41

yoshinari_fukumoto

オフィシャルコメント

by：福本佳成

　みなさんこんにちは。Rakuten-CERTの福本です。Rakuten-CERTでは最新のセキュリティ情報をインプットすべく、様々なセキュリティカンファレンスに積極的に参加する機会を設けているのですが、今回はOWASP AppSec USA Conferenceにうちのメンバーを2名派遣してきました。

owasp1 owasp2

こちらは会場の様子。

　OWASP AppSecはWebセキュリティに特化したカンファレンスで、僕たちのようなWebサイト側で働くセキュリティエンジニアにとっては、かなりフィットした内容になっているのかなと思います。そして、AppSecのハンズオントレーニングもかなり興味深いものが多いです。ちなみにうちのメンバーは以下のコースを受講して、多くのインプットを持って帰って来ました。

・Building Secure Ajax and Web 2.0 Applications (Dave Wichers / Aspect Security)
・Designing, Building, and Testing Secure Applications on Mobile Devices (Dan Cornell / Denim Group)

　Aspect SecurityといえばWebGoatを中心的にやっているところですね。この前者のコースはテキストが200ページ近くあってかなりのボリュームなのですが、基本的なチェックポイントが体系的に整理されていて大変参考になるものでした。そして、Rakuten-CERTでは今後の強化ポイントとして、smartphoneアプリの診断テクニックをリサーチしているのですが、後者のトレーニングもチェックの網羅性を高めるうえで極めて良いインプットになったのかなと思います。他にもtalkの方では、Ghosts of XSS Past, Present and Futureでの、ここ数年でXSS対策がContextごとに細かなケアーが必要になって来ている話が興味深かったり（やっぱり、新しい攻撃手法にキャッチアップし続けて対策方法にFBし続けるのが大事だなあって・・）、Gray, the New Black: Gray-Box Web Penetration Testingでの、同じスキルで競い合っても攻撃者側の方が時間的に有利なので、防御側はソースコードにアクセス出来る利点を活かして効率的に脆弱性発見し修正しましょうという話しも興味深く、特にこのネタは会場でも盛んに議論され注目度も高まっているようでした。
こちらtalkの方の資料は一般公開されているので、興味があれば読んでみてはいかがでしょうか。

　ちなみにですが、AppSecってあまり知られてないみたいで日本からの参加者はたった3名だったそうです（うち楽天が2名）。ちょっと意外に思ったのはディベロッパーが多いということですね。29%もいます。あと、学生は6%だそうです。その中には12歳のハッカー？もいて、ちょっと驚きもありましたが（笑）

http://owasp.blogspot.com/2011/09/owasp-appsec-usa-2011-wrap-up.htmlから

それと、AppSec CTFっていうイベントもあったのですが、こちらは十分な情報収集が出来なかったので次回の機会に・・・

さようなら、スティーブ・ジョブズ

2011年10月06日18:16

fsecure_corporation

ヘルシンキ発

by：ジャルノ・ネメラ

　スティーブ・ジョブズが亡くなった。

　Googleはトップページを変更し、敬意を表している：

Google's Steve Jobs tribute

　「Steve Jobs」は、「apple.com」にリンクしている：

Apple

　そしてAppleによるジョブズの写真からは、このメッセージにリンクしている：

Apple remembers Steve Jobs

　非常に感動的な言葉だ。

　Google側のセキュリティ措置としても良いものだ。

　このニュースを耳にするやいなや、我々は慎重さに欠ける人々を対象に、最後にもう一度、ジョブズを利用しようとするマルウェアやスキャムなどの試みに注意を向け始めた。ニュース速報が出るたびに、こうしたことが起きる。今年3月に起きた日本の地震と津波が顕著な例だ。ニュースが発生すると、検索エンジン最適化詐欺が起きる。

　現在、「スティーブ・ジョブズ葬式」と検索すると、結果の最初のページにスキャムが現れる。

Google Search results

　以下のサイト「stevejobsfuneral.com」は、15分の1の確率でMacbookが当たるというクジのため、電子メールアドレスを収集しようとするものだ。そして、リンク先のオンラインストアでは、購入することでジョブズに敬意を表することができるとして、Apple製品の販売を行っている。

　このサイトにとって都合の良いことに、このリンクにも、リンクを通して商品が購入されると利益が得られる、アフィリエイト広告情報が含まれている。

　「stevejobsfuneral.com」を避けるべきことは、おそらく言うまでもないことだろうが、このサイトは9月20日には既に登録されていた。ハゲワシはかなり前から旋回していたのだ。

stevejobsfuneral.com: scumbag website

　ニュースを検索する際には、常識だけでなく「news.google.com」も利用することだ。

　「Google Search」は悪意あるサイトをフィルタリングするという、非常に適切な仕事をしているが、最近、スパムと（広告に関連した）スキャムに関してヘマをしているようだ。あなたの国で利用できるなら、「Google News」を利用すること。

—————

スティーブ・ジョブズのご冥福をお祈りする。

＞＞原文へのリンク

ソニーが白羽の矢を立てたプロレキシックとは

2011年10月04日10:02

daiki_fukumori

オフィシャルコメント

by：福森大喜

ミッコのブログ記事「ハッキングされて倒産」の中で、「Blue Frog」というスパム対策ソフトを開発していた企業、ブルーセキュリティが紹介されています。

ブルーセキュリティはスパム対策事業を行っていましたが、スパマに大規模なDDoS攻撃（分散型サービス不能攻撃）を受け、最終的には廃業に追い込まれました。このときDDoS攻撃対策を請け負ったのがプロレキシックという会社です。プロレキシックという名前をご存じない方も多いと思いますが、DDoS攻撃対策を提供する企業として実はいろんな所で活躍しています。

１０月中旬に発売になる書籍「サイバー・クライム」では、プロレキシック(正確には、プロレキシック・テクノロジーズ)を設立したバーレットが前半の主役です。
なぜ、ブルーセキュリティはスパマから廃業に追い込まれるほどの反感を買ったのか。どういう攻撃をスパマから受けたのか。なぜ、スパマの攻撃を防ぎきれなかったのか。当時のいきさつも「サイバー・クライム」に書かれています。

最近の事例では、ソニーがアノニマスからDDoS攻撃を受けたときに技術面での対応を行っていたのもプロレキシックです。ソニーに対する攻撃はかなり長期化し、攻撃者や攻撃方法も変わってきていますが、初期の頃はDDoS攻撃が中心でした。DDoS攻撃対策をプロレキシックが請け負うことを知ったアノニマスのメンバー内では、「プロレキシックか。攻撃は難しそうだね」「次の標的はプロレキシックにしよう」といった会話が交わされていました。

prolexic

ソニーグループ、VISAなど多くの企業がプロレキシックを採用している

今でこそソニーのような大手企業にも採用されるようになったプロレキシックですが、設立当初は黒い影が噂される企業でした。
その黒い影とは、・・・「サイバー・クライム」をご覧ください。

SamとDaniel

2011年10月03日22:03

mikko_hypponen

ヘルシンキ発

by：ミッコ・ヒッポネン

　WIREDの最新版に、我々がよく知る2人に関する、素晴らしい記事が掲載されている。Bjorn SundinとShaileskumar Jainだ。

　我々は以前、Shaileskumar（別名Sam）とBjorn（別名Daniel）に関する記事を掲載した。こちらを見て欲しい。

　以下は2001年頃に撮影されたSamだ：

Sam Shaileskumar Jain