エフセキュアブログ : by：ヒリアチ・アリア

　11月30日は、世界コンピュータ・セキュリティ・デーだ。このイベントと連動して、「Forum of Incidence Response and Security Teams（FIRST）」が、クアラルンプールでTechnical Colloquiumを開催し、我がKUL Response Labのアナリストも2、3人参加した。

　興味深いプレゼンテーションが多数あったが、大部分は昨今のインターネットの状況や脅威の様相に関するものだ。マルウェア分析ツールの使用に関連した、よりテクニカルなデモンストレーションも行われた。

　Richard Perlotto（Shadowserver Foundation）やRyan Connolly（Team Cymru）など、多くのスピーカーが悪名高いConfickerの蔓延に触れた。一方Roland Dobbin（Arbor Networks）は最近の韓国および合衆国の独立記念日DDoS事件に関連して、主に、DDoS攻撃に対処するためのウェブ・オペレータの備えについて詳説した。

Presentation at FIRST-TC

　Jacomo Piccolini（ESR/RNP）は、ブラジル特有のマルウェア、特にBanking Trojanの事例をいくつか紹介した。興味深い新たなトリックを使用しているケースはあるものの、古き良きソーシャル・エンジニアリングには、よりシンプルなマルウェアであっても驚くほど効果的だった。その主張を証明するため、彼はソーシャル・エンジニアリングを行うのがいかに容易かについても、聴衆にデモンストレーションした。何てこった。

　オーストラリア連邦警察（AFP）のAlex Tilley（上の画像を参照）は、オーストラリアの数百万のドメインを巻き込んだデータベース・ハッキングについて、非常に興味深い概観を行った。麻薬密売と比較することでサイバー犯罪を説明する、面白く啓蒙的な試みも含まれていた。

　Colloquiumの初日は、豪華な夕食と、CyberSecurity Malaysiaの前途洋々たる新たなマルウェア・リサーチ・センターの公式ローンチと共に閉会した。

FIRST-TC dinner

UpdaterおよびTuneupトライアル

2009年11月19日15:38

　コンピュータの保守は、時としてひと仕事となる場合がある。特にあなたが常に忙しい人だとすれば。コンピュータ上のすべてのプログラムを、最新のアップデートでチューンアップしておくことは大騒動だろう。パフォーマンスを最適化するため、定期的にシステムの「ハウスキーピング処理」（ハードドライブのデフラグなど）を行うのも楽しいことではない。

　そこで、我々にそのお手伝いをさせて頂きたい。エフセキュアは最近、テクノロジ・プレビューページで、これらのタスクに対処する単一のツールである、Updater ＆ Tuneupのトライアル・バージョンをローンチした。同ツールを使用して、皆さんのマシンのパフォーマンスがどのように改善したかについて、フィードバックして頂けるとありがたい。

updater

　その名称が全てを語っているが、Updaterは皆さんのマシン上にインストールされた脆弱なアプリケーションの情報を得て、アップデートが入手可能になったら知らせるというものだ。そしてTuneupは、ハードドライブのデフラグやレジストリのチェックといったハウスキーピング処理を行い、皆さんのマシンのスピードを最適化する。

　そしてご協力に感謝するため、フィードバックしてくれたユーザに、賞品として以下のアイテムをプレゼントする：

• 「エフセキュアインターネットセキュリティ 2010」を5名様に。
• 「エフセキュアインターネットセキュリティ 2010」および「「エフセキュアインターネットセキュリティ 2010」および「エフセキュアモバイルセキュリティ」のVIPカードを15名様に。

　賞品の当選者は抽選で決定する。

　トライアル・バージョンは無料で、テクノロジ・プレビューの期間は2010年1月までとなる。

ITセキュリティは「ミカド」くらい簡単…

2009年11月17日18:14

　私はちょうど、我がマーケティング部門による新しいプロモーション・アイテムを入手したところだが、非常に興味深いものだ：

mikado

　これはヨーロッパの古いスティック・ゲーム「ミカド」だ。基本的には、山を崩さないようにしてスティックを注意深く取り除き、ポイントを獲得するというのがルールだ。最も高得点を獲得したプレイヤーが優勝となる。

　OK、このゲームは可愛らしいものだが、深刻なメッセージを伝えていると考えられる。すなわち、ITセキュリティはこのゲームと同じくらいシンプルであり得るということだ。ほとんどの人々は、ITセキュリティは複雑であり、高度にテクニカルであり、驚くほど不可解で、かつ、管理が難しいという印象を持っているのだが。

　公平に言えば、ほとんどの人々にそう考えるだけの理由がある。言葉さえ難しい。たとえばペンタゴンのサイバー・セキュリティ関係者からの最新ニュースに「Global Information Grid Customizable Operational Picture（GIGCOP）」というものがあったが、これは彼らの新しいセキュリティ・システムのコンポーネントにすぎない（The Registerの記事はこちら）。

　そして「テクニカル」なものが制御下にあるとしても、適切な物理的セキュリティを維持するなど、「簡単な」事柄で失敗する可能性もある。たとえば、ハイテクなサーバ室用のドアストッパーとして、スリッパを使わせないといった場合のように。実際、これはThe Starの記事で報告されている事例だ。

　しかし実際は、こんな風である必要は無い。我々は弊社製品（そしてツールおよびサービス）を使いやすくしたいと考えているし、それを目標として一層の努力をしている。このことは、ミカドと比較することで、かなり上手く捉えられていると私は思う。

サイバー戦争が再び浮上

2009年10月09日13:43

　Ed Skoudisが、昨日クアラルンプールで開催された「Hack in the Box」カンファレンスで、興味深い基調講演（PDFはこちら）を行った。この講演にはいくつかの点で、前年、Marcus Ranumが行った「サイバー戦争はナンセンス」というタイトルのスピーチ（PDFによるスライドはこちら）の対極にある、サイバー戦争に関する話題が含まれていた。

　多くの興味深いポイントが取り上げられた。以下に少し、ほんの少しだけ取り上げられた要点を挙げておこう：

　サイバー攻撃を、従来のキネティック攻撃（すなわち核兵器、銃など）と同等のものとみなし、場合によっては適切な軍事的対応が必要であると考える傾向を示す国が存在するという話があった。

　しかし、どのレベルが重大な攻撃と考えるべきなのかに関してのコンセンサスは無い。たとえば電力網制御施設が一カ所、運転停止になった場合を言うのか？　一つの街のインターネットアクセスがシャットダウンした場合か？　我々のアナリストの一人が言うように、「デジタル9/11を”本当に”構成するのが何なのだろうか？」

　Skoudisの論点の一つは、基本的に、一つの国全体のインターネットアクセスを停止させる攻撃は、歴史的に見て戦争行為とみなされる封鎖に近いというものだ。エストニアへの2007年の攻撃が思いおこされる。しかし、これは本当に正しい、法律的に許容できる前提なのだろうか？　オンライン攻撃は本当に、一国の商業/経済/社会構造に、甚大な障害を引き起こすことができるのだろうか？

　より高いレベルで、この問題が単に大して重要ではないことで大騒ぎしているのではないならば、UNやEUのような超国家的な組織は、サイバー戦争に対処する法律を通過させるべきなのだろうか？　たとえば交戦規則を定めるような何らかの取り決めや、「サイバー・ジュネープ協定」のような？

　アメリカ合衆国とロシアは、サイバー戦争の「脅威」に立ち向かうために提案された協定に同意することはできないだろう（New York Timesの記事）。様々なインターネット・コネクティビティやサイバー攻撃の可能性を持つ複数の国が、共同で実用的な協定を取り決めることを可能にする見込みはあるのだろうか？

　そして情報セキュリティのプロフェッショナルはどうだろうか？　エストニアやグルジアのサイバー攻撃のような事件では、軍事的なサイトよりもむしろ、商用サイトが標的とされたが、攻撃の影響に対処しなければならないのは、平均的なシステム管理者やセキュリティ・プロフェッショナルなのだ。これらの人々に、サイバー戦争の脅威を軽減するための役割はあるのだろうか？　何らかの役割を担う余地は、業界の手を離れているのではないだろうか？　それは単に「私の問題ではない」ということなのだろうか？

　考えるべきことは多く、コンセンサスはまだ無い。このトピックに関する昨年のRanumの講演により、賛成、反対の双方で、多くのブログの投稿、記事、コメントが登場したが、今年の講演はより多くの反応を引き起こすのではないだろうか。

　おそらく、このトピックに関してEd SkoudisとMarcus Ranumが討論するのを聞くのは興味深いことだろう。

ワームに関するフェローの研究を公開

2009年08月19日10:48

　我々のフェローの一人である、ミュンヘンオフィスのRuedigerが、自身の研究の過程でワーム（Confickerを含む）に関するペーパーを執筆し、シェアしたいと考えている。

　同ペーパーはドイツ語で書かれており、ここ（PDF、2MB）から入手できる。よろしければダウンロードして頂きたい。

ボットハーダーがTwitterを悪用

2009年08月14日12:32

　DDoS攻撃の集中砲火では十分ではないとばかりに、今週、Twitterが他の脅威のターゲットとなった。「Register」が最近、広く人気のあるこのSNSはボットネットのアクティビティの一部を転送するのにも利用されていると報告した。

　同レポートによれば、感染したコンピュータを、さらなるインストラクションを受け取ることができるウェブサイトに導くための手軽で効果的な方法として、Twitterアカウントが、ボットハーダー（ボットネットを統括する悪意ある攻撃者）に利用されていることを、あるセキュリティ・アナリストが偶然発見したのだという。

　これはTwitterが、ボットネットのコマンド、そして制御構造の一部として利用された初めての例だと思われる。執筆時点で、その悪意あるアカウントはすでにオフラインとなっている。

　詳細については、Arbor Sertによるオリジナルの記事も参照して欲しい。

「Malware Domains List」を使用した偽アンチ・ウィルス

2009年08月03日14:15

　「Malware Domains List（MDL）」は、セキュリティの専門家やITセキュリティに興味を持つ人たちの間でポピュラーなWebサイトだ。現在、偽アンチ・ウィルスのプロモーターが、同サイトの人気に目を付け、MDLのドメインに非常に似通ったURLのWebサイトを設置している。

　訪問者は以下のページを予想しているはずだ：

Malware Domains List

　しかしその代わりに、以下のページを見ることになる可能性がある：

Malware Domain Lists

　正当なWebサイトと偽サイトのURLの違いに注意して欲しい。

　2、3の文法的間違いはあるものの、この警告はFirefoxからの正当な警告のように見せるという、まずまずの仕事を果たしている。この表示を以下の（正当な）表示と見比べてみよう：

Firefox warning

　この悪意あるWebサイトの「警告」メッセージにある「セキュリティ・ソフトウェアを入手する（Get security software）」ボタンに注意しよう。もしこれをクリックすれば、その人はアンチ・ウィルス・ソリューションをプロモーションするWebサイトに導かれることになる。

　この件に関する詳細は以下を参照のこと：http://www.malwaredomainlist.com/forums/index.php?topic=3188.0

アップデートしたブラウザにお馴染みの攻撃

2009年07月13日16:41

　Firefox 3.5が入手可能になり、現在までに世界で2400万回ダウンロードと、すごい速さでホットなダウンロードアイテムとなっている。同ブラウザ自身はより高速に、より安全に、より良いものになっているとうたわれているが、慎重でないとする理由はない。

　我々の脆弱性アナリストの一人が先日、このビデオを見つけた。同ビデオのタイトルは「Firefox エクスプロイト」となっているが、我々が分析した限り、このエクスプロイトは実際にFirefoxを標的としてはいないようだ。

　この攻撃はむしろ総合的なものだ。少なくとも3種のエクスプロイトが試され、それらの実行が関係してはいる。これらのエクスプロイトは脆弱なAdobe Flashプレイヤー（CVE-2007-0071）とMicrosoft ActiveX Controls（CVE-2008-0015）を標的にしている。最後のエクスプロイトは、近頃、広く流布しているものだ。

　しかし使用されているベクターは、脆弱なWebアプリケーションの信頼できる、正当なルートだ。よってこれは基本的に、まったく新しい装いではあるがお馴染みのホールと言える。ブラウザをアップデートすれば良い。しかし同時にWebアプリケーションをアップデートしないなら、あまり良いとは言えない。ブラウザをアップデートする際には、予防策として、すべてのプラグイン、アプリケーションなどをアップデートするのを忘れないように！

　とは言うものの、我がエクスプロイト・チームは現在、これらエクスプロイトの特定機能をより詳しく調べている。何か興味深い機能が見つかったら、アップデートを追加する予定だ。

追記：この悪意あるサイトのエクスプロイトは、以下の脆弱性を標的としている：

  • CVE-2009-1136
  • CVE-2008-0015
  • CVE-2008-2463
  • CVE-2007-0071

　これらの脆弱性の3種はActiveX Controlsに関連するものだ。CVE-2009-1136は、最新のMicrosoft Security Advisory（973472）に関するもので、この記事の次に投稿された我々の記事（上を参照）にも関連している。Internet Explorer 6あるいは7で、悪意あるサイトにアクセスすると、ブラウザがクラッシュし、ペイロードが実行されることになる。

　Firefox 3.5に、より影響を与える唯一の脆弱性は、Flashプレイヤーに影響するCVE-2007-0071のようだ。最新のFlashプレイヤーで、あるいはプレイヤー自体をインストールしていない状態で悪意あるサイトにアクセスした場合は、自動ダウンロードを誘発することは無いかもしれない。

　しかし、だからと言って悪意あるサイトにアクセスした場合、100パーセント安全というわけではない。同サイトのコンテンツは、ビデオが登場した後に変更されているようなので、同エクスプロイト（あるいは標的とされる脆弱性）も、変更されている可能性があるからだ。

　よってブラウザ、あるいはWebアプリケーションのバージョンが何であれ、既知の悪意あるWebサイトにはアクセスしないことが大切だ。

キング・オブ・ポップSMS

2009年07月01日11:10

　マイケル・ジャクソン・スパム、そしてマイケル・ジャクソン・マルウェアの話題を良く耳にするが、今日、KUL Labの同僚がキング・オブ・ポップにも言及した、リンク付きのSMSを受け取ったのは多少興味深かった：

SMS_MJ

　IPはマレーシアで登録されているようだが、幸いにもリンクは機能していないようだ。

政府、軍隊の次は航空産業？

2009年06月25日11:25

　合衆国国防長官ロバート・ゲイツは先頃、軍のリソースに対するサイバー脅威に対処することを目的とした、U.S. サイバー・コマンドの創設を追認した。以前発表されたホワイトハウスの「サイバーセキュリティ・コーディネーター」はすでに、重要な政府インフラに対する同様の脅威に対処するべく進行している。

　大体において、これは良いニュースと言える。とはいえ、間違いなく「重要なインフラ」である特定の商用資源、すなわち民間航空電子システムを防御するために、同様の取り組みが行われるのであれば、それは素晴らしいことだろう。

　今年の初め、米運輸省は監査報告書をリリースした（PDFはこちら）。この報告書で同省は、連邦航空局（FAA）が管理を行う国家航空管制システムには、重大な欠陥と脆弱性があり、権限のない者がアクセスし、重要なサービスおよびシステムをコントロールする可能性があることを示唆した。

　これはFAAが、民間航空の電子システムセキュリティに欠陥があるという理由で批判された最初の事例ではない。このような批判が最初に行われたのは、1998年のことだ。

　同報告書は管理および運用システムが侵害される可能性があることの裏付けとして、2006年、2008年、2009年の発生率を上げている。FAAはこの主張に反駁している。

　同報告書には挙げられていないが、興味深いのは1998年の事例だ。ティーンエイジャーが、マサチューセッツにある空港の重要な空港管制塔サービスを使用停止させた、というものだ（CNetの記事はこちら）。

　コンピュータセキュリティを改善しようという、現在の政府の熱意により、願わくば、現行の民間航空システムにも幾分か注意が払われることを願いたい。

求職の際、Facebookのパスワードを開示したいですか？

2009年06月24日10:53

　CNN.comが、米国モンタナ州ボーズマン市に関する最近のニュース記事を掲載した。同市はFacebookやMySpace、Youtubeといったソーシャル・ネットワーキング・ウェブサイトのアカウント名とパスワードを開示するよう、全ての求職者に求めてきたが、身元調査の権利放棄フォームの条項を無くすよう求める声が高まっていた。

　方針の変化は、一人の求職者がMontana's News Stationに連絡を取り、この身元調査のある側面について、懸念を表明したことにより起こった騒動に起因する、と考えられている。

　同市はログイン情報の詳細を要求することを、同市が全職員に対して行っている広範な身元調査の延長に過ぎないとして正当化した。この予防策は、同市の資金や運営を担当する職務に就いている人々の信頼性や誠実さを確認することを意図していた。そしておそらくは、職員がオンラインで好ましからぬ行動の詳細を公表するかもしれない、という可能性への歯止めを意図していたのだろう。

　ボーズマン・デイリー・クロニクルは、選挙により就任した市のコミッショナーには、このポリシーは適用されず、市の職員のみが対象となることも報じている。

　実際、ここで興味深いのは、このポリシーはどうやら実施されて約3年経っており、市の弁護士グレッグ・サリヴァンによれば、「このリクエストが原因で、職をあきらめた人はこれまで一人もいない」ということだ。ここで疑問を呈したいのは、それらの人々が本当に自分たちの詳細なログイン情報を明らかにしたのかだ。偽の情報を与えたのではないだろうか？　あるいはこのリクエストを無視したのでは？

　そしてそう、このポリシーは法的基盤がかなり不安定であるように思われる。いくつかの州、あるいは国とは異なり、モンタナの州憲法では明確に、市民のプライバシーの権利を保証しているからだ。

　ログイン情報を求めるこのリクエストは、先週、即効で除去された。しかし、同市はいまだに求職者のオンラインでの行動チェックに熱心であり、「当局は同ポリシーの代わりに、求職者にログインコードをたずねることなく、彼らのオンライン情報を調査する方法を探している。」

モバイル・マルウェアの潮流を待ちながら

2009年06月09日11:41

　ここ2、3年、携帯電話やインターネットの集中により、携帯をターゲットとし、インターネットを介して流布される新たな脅威の潮流がいかにして誘発されるのか、ということについて、iGillotResearchの報告（PDF）に見られるような議論が登場している。我々は実際、携帯ネットワークオペレーターに対する攻撃を数多く見てきた。しかし現在までのところ、インターネットベースの攻撃を受けたユーザーはほとんどいない。

　たとえば昨年、Apple iPhoneに、インターネットを介して蔓延する初のトロイの木馬が登場した。しかしそれは「深刻なクライムウェア」というよりは、「スクリプトキディのおふざけプログラム」だった。しかも、それは携帯電話に対するインターネットベースの脅威として初めてのものでさえなかった。専門的には、2006年のEliles.Aワームが初と言えるからだ。2009年も半ばとなったが、インターネットを介して流布する携帯マルウェアの目をひくような発生は現在もまだ見られない。

　というわけで、これは携帯セキュリティに関するヨタ話の一つなのだろうか？まぁ、そのようなものだろう。今日、AppleがiPhone 3G Sモデルを6月19日に発売すると発表した。同製品はより高速になり、より多くの機能を搭載している。

iphone

(source: att.com)

　改良されたiPhoneでは、Safariブラウザによる容易なサーフィン、App storeで入手できる膨大な種類のプログラムなどがアピールされており、Appleは自社の携帯電話を介して、より多くの人がオンラインに参入するよう駆り立てているように見える。

　そして昨今、携帯電話に関してはAppleが向かうところに人々が付き従う、という傾向があるだけに、大多数の携帯電話生産者たちは先を争って、オンラインブラウジングのユーザーフレンドリーさを、自社製品でもiPhoneと同等レベルで提供しようとするだろう。もしそうなれば、それはより多くのユーザーが携帯でネットサーフィンし始めるということを意味する。

　それはすなわち、マルウェアの作者たちが、携帯電話をより一層ターゲットにし始めることを意味するだろう。携帯電話の生産者たち、そして携帯ネットワークオペレーターたちが、初のトロイの木馬を一種の「威嚇射撃」と捉え、強固なセキュリティ対策を準備することを期待したい。

　現在のところ、携帯戦線は平穏なようだ。

　関係ないが、新しいiPhoneはインターネット・テザリング機能も正式に導入している。これによりユーザーは、Wi-Fiホットスポット無しに、コンピュータをiPhoneに接続し、ネットサーフィンできる。一部のユーザーは、この機能を長いこと切望してきたが、望みが叶ったわけだ。お楽しみあれ！

サイバー戦争は深刻な問題なのか？

2009年04月23日12:50

　1983年に映画「ウォー・ゲーム」が公開されて以来、コンピュータに詳しい人も、詳しくない人も「サイバー戦争」について論争している。そんなものがあるのか？　脅威なのか？　誰が仕掛けるのか？　どうでもいいじゃないか、といった具合だ。

　今のところ、このトピックに対するコンセンサスは無いのだが、軍当局者の中にはその脅威を真剣に受け止めている人たちがいるようだ。Computerworldが、オバマ陣営がサイバー戦争を戦い、また「サイバー戦争における攻撃力の開発」に従事するための軍事指令センターを設立するかもしれないと報じている。

　懸念がすべて正当化されると、誰もが考えるわけではない。Tenable Network SecurityのCSO、Marcus Ranumは、クアラルンプールで開催された2008 Hack In The Boxカンファレンスで、「サイバー戦争はたわごとだ」と題する基調講演を行っている。タイトルが正にすべてを語っている。同スピーチで使用されたスライドは、ここから閲覧（PDF）できる。

　とは言え、すべての人がこの脅威をナンセンスと退けるわけでもない。Ranum氏の主張に対する興味深い論評が、Richard BejtlichのTaoSecurityブログに掲載されている。

インターネット上のあちこちで、このトピックに関する議論が行われているので、ご興味のある方はどうぞ。何かご意見は？