エフセキュアブログ

2016年03月

明らかによろしくない分類

毎度示唆に富んだ記事が投稿されることで人気を博しているエフセキュアブログですが、先日も大変趣のある記事が投稿されました。

エフセキュアブログ : Locky:明らかによろしくない振る舞いより引用:
当社のソフトウェアDeepGuardを実行している場合、ビヘイビア検知エンジンが、Lockyの用いる攻撃の媒介メールと、マルウェアの振る舞いの双方を阻止する。すでにかなり長い間、双方とも検知している。
(中略)
Lockyおよびそのバリアントに関連する悪意ある振る舞いは、以下の3つの検知によりブロックする。
  •     Trojan-Dropper:W32/Agent.D!DeepGuard
  •     Trojan:W32/Pietso.A!DeepGuard
  •     Trojan:W32/TeslaCrypt.PE!DeepGuard
(中略)
もしこのJavaScriptを実行すると、Lockyの実行ファイルをダウンロードし実行する。このバリアントはTrojan-Downloader:JS/Dridex.Wとして検知する。

要するに、LockyというランサムウェアはTeslaCryptやDridexとかの名称で検知する、と。
ほとんどの方は意味が理解できていないと思いますが、TeslaCryptもDridexもLockyとは全く異なるマルウェアだけど、検知するんだからまあいいじゃん、というブログ記事です。
実際のところ、ウイルス対策ソフトの役割はマルウェアを検知して感染を食い止めることであり、白か黒かの判断さえ間違っていなければOKというスタンスなので、方針として間違ってはいないわけですが、フィンランド企業の洗練されたイメージからするとちょっと意外です。
(お客様からのインシデント報告を受けて対応する私の立場からすると、ランサムウェアとバンキングマルウェアとでは対応が全く異なりますので、ちょっと困るのですが。)

このあたりの大雑把さ加減や努力の諦め具合を各社と比較してみると面白いです。

Lockyの実行ファイル (1fd40a253bab50aed41c285e982fca9c)
2016/2/16 2016/3/24
エフセキュア 検知せず Trojan.GenericKD.3048336
カスペルスキー 検知せず Trojan-Ransom.Win32.Locky.d
マイクロソフト 検知せず Ransom:Win32/Locky!rfn
シマンテック Suspicious.Cloud.5 Trojan.Cryptolocker.AF
トレンドマイクロ 検知せず Ransom_LOCKY.A

JavaScriptで書かれたLockyのローダー (6288aee880e2775046f1388b28b87ea0)

2016/3/23 2016/3/28
エフセキュア
Trojan-Downloader:JS/Dridex.W Trojan-Downloader:JS/Dridex.W
カスペルスキー
HEUR:Trojan-Downloader.Script.Generic Trojan-Downloader.JS.Agent.jkb
マイクロソフト 検知せず 検知せず
シマンテック 検知せず 検知せず
トレンドマイクロ 検知せず JS_LOCKY.KB
#ローダーだけでは悪意を判断できないので、「検知せず」は見逃しを意味するものではない。

元記事にある「すでにかなり長い間、双方とも検知している」というのが具体的にどれくらいの間なのかもわかりますね。

暗号化ランサムウェアに関するFBIの回答

 2015年12月、ロン・ワイデン米国上院議員はFBIに対し、暗号化ランサムウェアに関する情報を求める書簡を送った。これについては、この記事で書いた。その後、何週間か前に私は検索したのだが、FBIの回答内容を見つけ出せたのは、politico.comのペイウォール(paywall、支払いの壁)の向こう側だけだった。

 そんなわけで私は、このことをワイデン上院議員のTwitterアカウントにつぶやいた…。すると同氏の広報担当者が、FBIの書簡へのリンクと共に返答をくれた!(Twitterはこのようなことに長けている)

 ワイデン上院議員の質問のうちもっとも重要なものの1つは、FBIは「ただ身代金を支払うように(just to pay the ransom)」と人々にアドバイスしているか、というものだ。

Does the FBI advise people to just pay the ransom?

 公式回答は、FBIは支払うべきか否かをアドバイスしていない、だ。しかし被害者が予防措置を取っていなかったら…、ファイルを復旧するために残された選択肢は支払いをすることだけだ。

 以下に全6ページの回答がある。

 ワイデン上院議員宛てのFBIの書簡 [PDF]

ランサムウェア「Maktub Locker」のグラフィックデザイン

 「Maktub Locker」と自称する、新たな暗号化ランサムウェアファミリーが出現した。Maktubとは「書いてある」という意味のアラビア語だ。

Maktub Locker

 セキュリティ研究者のYonathan Klijnsmaが、本日これまでに当該ランサムウェアについてツイートした。

 (訳注:「『MAKTUB LOCKER』という新手のランサムウェアが、現在メール経由で拡散されている。暗号化する際にC&Cと通信しない」という意味)

 私はMaktubの支払い用の入り口のグラフィックデザインをちょっと見たのだが…、残りも見ずにはいられなかった。

 以下はステップ4で表示されるものだ。

Maktub Locker - Step 4 - Where do I pay?

 普通じゃない。

 不満を持ったグラフィックデザイナーなのか?

 残りの画像を以下に挙げる。

HELLO!
こんにちは!

WE ARE NOT LYING!
我々は本気だ!

HOW MUCH DOES IT COST?
いくらかかるか?

WHERE DO I PAY?
どのように支払うか?

BITCOIN PURCHASE
ビットコインの購入

LenovoのスタートページがAnglerを配信

 当社の顧客のアップストリーム検知レポートに基づくと…、どうやら3月13日にLenovo関連のWebサイトが侵害されたようだ。ある期間(比較的短期間)、ポータルサイト「startpage.lenovo.com」を訪れた人が、悪名高いAnglerエクスプロイトキットにリダイレクトされていた。少なくない量の暗号化ランサムウェアの発生源だ。

 そのため侵害が一定期間内に限られていたとしても、その影響は重大だろう。日曜の夜に、このサイトへのトラフィックが多くなかったのであればいいのだが。

startpage.lenovo.com

 今回の注目すべきアップストリームレポートで検知されたのは、Exploit:JS/AnglerEK.Dだ。Anglerの最近のペイロードはTeslaCryptである。そして当社ではこれをTrojan:W32/Rimecud.A!DeepGuardおよびTrojan:W32/TeslaCrypt.X!DeepGuardとして検知する。

 個人的には、私は「スタートページ」にポータルは使わない。私の場合、about:blankが好みだ。

When Firefox starts…

PowerShellを悪用したマルウェアが徐々に増加の予感!?

侵入後にPowerShellを悪用する事例が多く聞かれるようになりましたが、マルウェアの配送(メール、ウェブ経由)の際にも利用されているケースが出てきています。
まだ、多くは確認できていませんが、攻撃者にとって有用であることを考慮しますと、徐々に増加するものと予想されます。
現在のところ、その特性上のせいかウイルス対策ソフトによる検知率は芳しくありません。

下図のケースでは、ワードファイルを装ったショートカットファイルに細工が施されたもので、PowerShellを利用して外部の悪性サイトからマルウェアをダウンロードする仕組みになっています。

shortcut with powershell

その他では、XLSファイルにPowerShellが埋め込まれているものを確認しています。
Windows 7 から標準搭載されているPowerShellは大変便利な拡張可能なシェルです。しかし、それ故に悪用も容易である事は想像に難くありません。
その点を考慮してかはわかりませんが、スクリプト・ファイル(.ps1拡張子)の実行はWindowsの標準設定では制限されています。
しかし、安心はできません。実は、以前から既に回避策は多数報告されています。これらの現状に鑑みますと、今後を見据えての対策を検討しておきたいところです。

参考URL:
15 Ways to Bypass the PowerShell Execution Policy
https://blog.netspi.com/15-ways-to-bypass-the-powershell-execution-policy/


PUAが使う広告配信プラットフォームがMagnitudeエクスプロイトキットをも配信

 先月、あるマルバタイジング・キャンペーンについて投稿した。ユーザをAnglerエクスプロイトキットへと向かわせるマルウェアの攻撃に対し、たとえ非ブラウザのアプリケーション上であっても、広告プラットフォームは影響を受けやすいことを明らかにした。

 さらに別のマルバタイジング・キャンペーンに先週気付いたが、こちらはMagnitudeエクスプロイトキットにユーザを押し進める。

Magnitude EK Hits 2016.03.04

Magnitude URLs

 我々は以下の広告プラットフォームが、Magnitudeエクスプロイトキットへのリダイレクトに用いられていることに気付いた。

www.terraclicks.com 
bestadbid.com
onclickads.net
popped.biz
click2.danarimedia.com
onclickads.net
ads.adamoads.com

 その広告プラットフォームの1つであるclick2.danarimedia.comについて、興味深い点を観察した。「潜在的に迷惑(potentially unwanted)」だと考えられているConduit Toolbarsの特定のディストリビューションでも用いられているのだ。Conduit Toolbarsは一般に無料のソフトウェアとバンドルされてやってきて、ブラウザ設定の変更を強要する。

conduit_properties

conduit_strings_text

 同広告プラットフォームから当社のアップストリームを経てMagnitude EKへと差し向けられる様子を以下に示す。

magnitudeek_redirection_20160304

 これは、我々がPUA(Potentially Unwanted Application、潜在的な迷惑アプリケーション)のパワーを過小評価すべきでないことを示す。仮にあるプログラムが潜在的に迷惑なものとして始まったとして、攻撃者がユーザのマシンに他の脅威を配信するのにそうしたプログラムを活用するはずがない、なんていうことはないからだ。ユーザはエクスプロイトキットへとリダイレクトされ、最終的にマルウェア、つまりこちらの特定のエクスプロイトキットCryptoWallランサムウェアへの感染に繋がる。

cryptowall

SHA1: b9bf3131acae056144b070c21ed45623ce979eb3

 当社のユーザはこれらの脅威から保護されており、以下のように検知する。

  • Exploit:JS/MagnitudeEK.A
  • Exploit:SWF/Salama.H
  • Trojan:W32/Crowti.A!DeepGuard
  • Application:W32/Conduit.B

思考実験:FBiOS 盗聴エディション

 ある思考実験をしてみる。

 現在進行形のあの問題…。

アップル社 vs FBI

 米司法省は全令状法(All Writs Act)を行使し、アップル社に対し「FBiOS」、つまり特定のセキュリティ制御を省いたiOSの修正版を開発すべく命じるよう、連邦裁判所判事に求めた。アップルはFBiOSにデジタル署名するように求められている。この件は現在議論されている。

 その次には?

FBiOSの機能の拡張

 司法省は全令状法を用いて、使用中のスマートフォンの盗聴機能を含めるべくFBiOSの開発を拡大しようとするだろう。同様に、FBiOSのAndroid版(別名GovtOS)を作成する令状も追加する。

盗聴権限を拡大するための法律を制定

 連邦議会はスマートフォンの盗聴を支援する法律を通過させることもあり得る。スマートフォンの製造企業にアップデートチャネルを通じてFBiOS盗聴エディションをプッシュするように要求するのだ(正当な捜査として)。

 未来へようこそ。

 この時点で…。

 全面的に侵害可能になったクライアント側のプラットフォームでは、もはや「隠されたもの」など無い。

 エンドツーエンドの暗号化アプリでは?問題無い。この盗聴機能は、UIやキーボードなどから内容を取得するだろう。

Signal Private Messenger iOS

 つまり、伝送中のデータは完全に暗号化されたままだが、この時点ですべてのスマートフォンに盗聴される可能性があることになる。OSを自分でコンパイルして(または信頼のおけるソースからインストールする)、アップデートチャネルの制御を維持する場合を除けば、だ。FBiOSの盗聴機能を複数の国の政府があまりにも簡単に悪用することは、歴史が示している。

 結論としては…アップル社 vs FBIの一件は、ただ1台のiPhone 5Cからはるかに超えた事態を引き起こす。

 思考実験終わり。

 ティム・クック、あなたを称賛する。

10 PRINT “ソフトウェアエンジニア職に空きがあります”

20 GOTO 10

 エフセキュアでは人材を募集している!世界中で人材募集中だ。

 また、ATP(Advanced Threat Protection)プロジェクトを支援する複数のチームに多数のポストが空いている。一部のケースでは、複数の候補者を求めている役職もある。ATPは当社の中でも刺激的で、急激に成長をしているプロジェクトなので、募集を確認してほしい!

 当社ではまた、ラボの他のチームも拡張している。自身の新しい才能を探している2人の同僚に、シャウトアウトをささげたい。

Holo (left) shreds it up in our basement band practice space.
当社の地下のバンド練習場で速弾きしているAntti(左)。ベースは私(Andy Patel)だ

 Antti Holopaineは当社のクリーンソフトウェアへの取り組みを率いており、ソフトウェアエンジニアたちを探している。そこでは、合法的なファイルの収集と分析の自動化を推し進め、改善を行っている。仕事内容にはPythonで山ほど書いたり、サンプルおよびデータの分析を構築したりが含まれるが、普段は当社のバックエンドでたくさんの魔術を行っている。興味はあるだろうか?申し込みはこちらから

At the moment of writing, Janne was on the throne.
…王座に着くJanne

 Janne Laaksonenは当社のSecurity SDK部門の長である。この部門はWindowsのエンドポイント保護技術の設計および開発を担当している(いろいろやっている中でも)。その取り組みを支援するWindowsシステムプログラマーをJanneは求めている。Security SDK部門は、ラボにおけるあらゆる種類の非常に重要な作業を任されている。これには、当社のデータベースおよびコンポーネント更新のインフラ、実際のマルウェアに対する自動テストの構築、専門家向けのツールの提供、ラボや今後の見通しのためのメトリクスおよびサービスの可視化、Ultralight(当社の「クラウド」セントリックなクライアント)SDKの設計および開発が含まれる。この部門は専門家だらけで、採用されたら大いに学習する機会が得られる。申し込みはこちらから

 もしいずれかの仕事に関心があるなら、以下のフォームに一言記入して連絡をほしい。あなたの質問に答える我々のほうがずっと嬉しく思うだろう。


 疑問点は?

 (訳注:入力フォームは原文の記事へ)

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード