エフセキュアブログ

by:ジャルノ・ネメラ

マルウェア作者はマーケティングサービスを用いて人々を標的とするか?

 ソーシャルエンジニアリング的な内容のマルウェアのメールに、すんでのところでひっかかりそうになったことについて愚痴をこぼしている人がいた。我々はこの興味深いケースに気付き、少々調査することに決めた。

 この人物は、近くサンフランシスコ行きのチケットを予約することについて、友人に話をしていた。そして、その電話から6時間後、サンフランシスコへの電子航空チケットが添付されたメールを受け取った。この人は十分注意をしていたため添付ファイルには触れなかったが、それは良い判断であった。当社で分析したところ、Trojan.Krypt.AUのバリアントと特定されたのだ。

 これは単にスパムメールで大量に送られたマルウェアで、なおかつちょうど適切なときに、この特定のユーザに命中したソーシャルエンジニアリング的な文章だったのに過ぎないのかもしれない。しかし当社のサンプル群を確認すると、関連するマルウェアについて、わずか1250の事例しか存在しなかった。これは、このマルウェアに限っては大勢の受信者に向けてスパムが送られたのではないことを示唆する。そのため、ちょうど命中したという可能性は非常に小さい。

 ここ1年のうちに、標的型広告サービス業者のユーザのプロファイルは、大幅に進化した。たとえば筆者が飛行機の便やホテルの情報をブラウザで表示したときのことだ。Trip Advisorなどの企業から、その特定の行先の飛行機の便やホテルについて提案するメールが来るようになった。もちろん、こういう経験をするにはFreedomeを無効にする必要がある。それでこそ筆者の追跡が可能になる。しかしこれが、一般ユーザのようにネットを体験したいと考えることの代償なのだ。

 今回のケースでは、マルウェア作者が被害者を見出すため、一部の標的型広告サービスを悪用した模様だ。検索エンジンでの広告の悪用は多数目にするが、メール広告サービスが同様の方法で使われた兆候が見られたのは、今回が初めてのケースだ。

 これまでのところ、被害者の選定が標的型プロファイルの悪用によってなされたことや、プロファイルする際に電話の分析に基づいていたことを示す証拠はない。おそらく前述の人物は、プロファイルに適合する何かを検索したのだ。しかしこれは興味深いケースで、我々はこの先の展開に目を光らせていく。

Fake Delta e-mail

 Post by — Jarno

ユーザのプライバシーを保護しつつビッグデータの脅威分析を行う。

 アンチウィルス業界はここ4〜7年の間に大きく変化してきた。さかのぼること2008年辺りまでは当社も他の企業と同様に、シグニチャファイルやファイルのスキャンを非常に重視していた。そしてそれがスケールしないことが明らかになると、我々はより有用な攻撃パターンの検出へと移行した。さらに、攻撃が成功した結果ドロップされるファイルを検知しようとするよりも、最初の段階で感染を避けることに焦点を合わせ始めた。

 洗練された方法で物事を行うには、優れた可視化が必要だ。そのため、当社はビッグデータの取り扱いを開始しなければならない。重大な事実を述べなければなるまいが、どんな間抜けでも大量のデータを収集することはできるのだ。だから、ビッグデータを小さく理解可能な情報へ変換するところに技がある。しかしながら、データマイニングを行うため我々はユーザからデータを集めねばならず、これがプライバシーの観点から問題になり得る。当社がどのような種類のデータを収集し、どのように処理するのか、人々は尋ねるだろう。

 こうした疑問に答えるため、当社のInternet Security系列の製品が収集する情報について詳細に述べたホワイトペーパーを記した。ホワイトペーパーはここで読むことができる。

data_whitepaper (187k image)

 当社のデータ収集の基本原則は、必要なもののみ収集し、可能な限り早い段階で匿名化することだ。当社がシステムデータを入手できるよう、クライアント側でサニタイズ可能なすべてのデータは、あらかじめクライアント上で取り除いている。ユーザの個人データのように見えるものが当社のデータベースに残ることは一切ない。クライアントのIPアドレスなど、クライアント側でサニタイズ不可能なデータは、データを処理する最初のサーバ上で除かれる。インポート時にサニタイズを行う複数の階層を潜り抜けた、ユーザに関連するデータを削除する目的で、当社は顧客データに対し定期的なクリーンアップを実行する。

 当社は攻撃を食い止めるために必要なものをすべて認知する取り組みを続けていくが、同時にユーザについて何かを知るようにはならないことを確認している。

管理者達へ:Heartbleedの修正するときに設定基準を見直そう

 とにかくSSLの更新は必要なので、設定が最近の基準に沿っているかについても確認しようではないか。

 Heartbleedについてたくさんの大騒ぎがあったから、管理者ならすでに何をすべきか知っているだろう。

 1. 脆弱なバージョンのOpenSSLを使っているものをすべて特定する
 2. 最新バージョンのOpenSSLに更新する
 3. 古いプライベートキーとSSL証明書は漏えいした可能性があるので、新しいものを作成する
 4. 古い証明書を失効にする

 だがサーバの設定を触って、新しいSSL証明書を作成しなければならないのなら、証明書生成の設定やサーバの設定にも手を伸ばすことをお勧めする。HeartbleedはSSL/TLSの実装における問題だけではない。プロトコルを下手に選択したり、暗号方式が弱いと、Heartbleedのバグと同等に危険になり得る。

 OWASP Transport Layer Protection Cheat Sheet(Open Web Application Security Projectによるトランスポート層保護についてのチートシート)を一読することを推奨する。

 そしてボーナスポイントのチャンス!

 5. PFS(Perfect Forward Secrecy)を実装する。これは件のOWASPのチートシートの「Prefer Ephemeral Key Exchanges」というルールのところに記載がある。

 詳細については、EFEの「Why the Web Needs Perfect Forward Secrecy More Than Ever(なぜかつてないほどWebにPFSが必要なのか)」というポストを参照してほしい。

追記:

 もう1つ追加する。

 6. トランスポート層のセキュリティのみに依存してはならない。もしデータがクリティカルであるなら、実装において追加的な保護を用いる。

 一例を挙げるならYounitedだ。「How do I turn on advanced login authentication?(高度なログイン認証を有効にする方法は?)」というサポートの質問を参照してほしい。

younited's 2FA

 2要素認証だ。提供してほしい。お願いだ。

更新:

 プライベートキーの変更が当然必要なことや、古い証明書を失効にすることを明確にする記述を追加した。ありがとう。@oherrala.

いや、パスワードをしっかりSaltingしても十分ではない、CUDA Accelerated PBKDF2を使用すべし

私は最近のパスワードのリーク(LinkedIn、eHarmony、Last.fm)に関するオンラインの議論を追ってきたが、salt値がパスワードを安全にするという強固な信念を持つ開発者が、まだ大勢いるようだ。

  攻撃者がsaltを有していたとしても、攻撃は実質上可能ではない。何故なら14文字の鍵空間をチェックするには非常に時間が掛かるためで、よってsaltにより安全が保たれる、というのが一般的な推論のようだ。小さい子供がテディベアを抱きしめるように、デベロッパはsaltを握りしめていれば、すべての悪しきクラッカーを寄せ付けずにいられると考えている、と言っても良い。

  残念なことに、人間は一般に、乱数ジェネレータでは無い。Francois Pesceによる非常に素晴らしい調査が、このことに関する動かぬ証拠を提供している。

  基本的にFrancoisが行っているのは、LinkedInのもののような、巨大なパスワードデータベースを辞書攻撃によって攻撃し、クラックしたパスワードを次の攻撃のために辞書に追加する、というものだ。これは、人々が特定のサービスで使用する傾向のあるパスワードに対して、攻撃を自動的に最適化する。そして彼は、レインボーテーブルを使用せずに実験を行っているが、これは彼の実験のセットアップが、パスワードはsaltされているが、攻撃者がsalt値を得ている状況もカバーすることを意味している。

  これは、人々が使いがちな典型的パスワードを探し、こうした一般的パスワードのさらなる置換を発見し、データベースで簡単に手に入れられるものを全て獲得するのに、非常に効果的な手法だ。

  攻撃者がユーザーアカウントの60パーセントから80パーセントを得られるなら、しっかりと選択されたパスワードがあるため、20パーセントから40パーセントのアカウントをクラッキングできなくても、誰が気にするだろうか?

  ではこうした手法に対してどのように防御すべきか?

  正規ユーザは単語を含むパスワードを選ぶべきではなく、長いパスフレーズの方がベターだが、それらはGPUが支援する辞書攻撃に驚くほど弱い可能性もある。

  大部分のユーザは決して強いパスワードを使用しないのだから、開発者はスロー・ハッシュ・インプリメンテーションに切り替え、ユーザごとに一意のsalt値を使用すべきだ。しかし開発者は、あまりに多くのユーザが同時に認証しようして、CPUサイクルを使い果たすのを恐れるため、スロー・ハッシュへの切り替えには驚くほど抵抗がある。

  多すぎる正規ユーザが同時にログインしようとする問題に対処するため、攻撃者たちのアイディアを盗むことができる。敵が行うのと同じように、GPUでユーザのパスワードハッシュチェックを計算すれば良い。

nvidia_cuda (134k image)

  たとえば、NVidiaのCUDAプラットフォームは、パスワード認証サーバに組み込むのに理想的だ。CUDAを使用すれば、敵と同じ土俵に立つことができる。パスワードサーバごとに一つのCUDA対応カードでも、パスワードハッシュチェックを1msで計算でき、敵もそのパスワードをクラックしようとするのに1ms必要となる。これは1秒に何億もの試みを行うのではなく、攻撃者は1秒に数千の試行に制限されることを意味している。

  もちろん、攻撃者は、例えば、100のCUDAもしくはパワフルなATIカードを入手できるが、それは非常に効果であり、そのような攻撃者に1秒に230,000,000,000回ではなく、たった100,000回の試行しか提供しない。

  残念なことに、Webもしくは他のアプリケーションに対するCUDAあるいはATI GPUサポートの統合情報を得るのは難しいが、そのためにオープンソースおよび開発者コミュニティがある。

  私はパスワード認証でCUDAを使用するためのオープンソースライブラリを見つけられなかったが、オープンソースクラッキングツールのいずれかを、容易に適用することができるだろう。たとえば:http://code.google.com/p/pyrit/ はWPA/WPA2-PSKを目的としているが、パスワードのチェックにも利用できる。

Post by — @jarnomn

まだ問題無くパスワードにデフォルト設定を使っている? やめましょう。

先週、我々は「パスワードは本当にSHA-1+saltで十分だと思いますか?」という記事を再掲載した。

  パスワードに関するこの話題を続けると:コードでパスワードハッシュを実装する際、適切なIteration Countを使用するだけでなく、同じことがKeePass.のようなパスワード管理ソフトにも当てはまる。

  強力なパスワードは記憶するのが難しいため、多くの人がKeePassや他のパスワードマネージャを使用することを選択し、そのパスワードマネージャを、一つあるいは他の動機サービスにコピーする。パスワードはデスクトップやラップトップ、携帯電話、タブレットなど、あらゆるデバイスで利用可能になる。しかしこれは潜在的な問題をもたらす。デバイスの一つに障害が起きるか、盗まれるか、あるいは動機サービスがハッキングされれば、パスワードファイルが悪の手に渡る結果になる可能性が高いのだ。

  そのための明白な防御は、パスワードデータベースファイルで強力なパスワードを使用することだ。しかし強力なパスワードの入力は、携帯電話では面倒だ。そのため多くの人がより短いパスワードを使用することになる。14文字以上のパスワードもしくはパスフレーズが適切だが、我々は皆、多くの人がそうはしないことを知っている。

  パスワードマネージャの設定で、Key Iteration Countを調整することにより、モバイル使用における短いパスワードの問題を軽減することができるかもしれない。一般的にはIteration Countを設定すれば、使用中の最も遅いデバイスで、パスワード認証が約1秒になる。

  たとえば、KeePassを使用しているなら、デフォルトの鍵導出Iteration Countは6,000だ。典型的な携帯電話では、1秒間におよそ200,000の反復が行われる。よって、適切なKey Iteration Countを設定することで、攻撃者にとってパスワードクラッキングを33倍、高くつくものにすることができる。もちろん、パスワードに1文字プラスすれば、同等の保護を与えることになり、2文字追加すれば、1024倍良い保護になる。しかしそれは、Key Iteration Countを途方もなく低い、デフォルトの値にしておく理由ではない。

  以下はWindowsラップトップのKeePassで、値は4,279,296に設定されている:

Number of key encryption rounds

  そしてモバイルパスワードマネージャを開発している人への助言は:モバイル端末のCPUパワーが低いことで、Key Iteration Countを妥当な数値(何十万というレベルではなく、400万から600万であるべき)に設定することは非常に難しい。では携帯電話のGPUをパスワード導出に使用したらどうだろう? それを使用して、鍵導出のための適切なIteration Countが獲得でき、GPUアクセラレーションを使用するパスワードクラッカーに対して、より有利になる。

Post by — @jarnomn

フィンランドで出回っている有料サービスに関するSMSスパム

CERT-FIが、有料サービスへの申し込み確認に関し、GTradeIncから送信されたSMSメッセージについて警告している。これらのメッセージは明らかに、そのようなサービスに申し込んでいないか、Facebookや電話番号を必要とする他のキャンペーンに登録していない人々に、ランダムに送信されている。

  このSMSメッセージは以下の内容を含んでいる:Mainoskirje aktivoitu. Saat 3 mainosta/vko. Hinta 20e/kk, veloitetaan puhelinlaskussasi. Peruuta milloin tahansa ilmaiseksi, tekstaa: TXT5 PERU numeroon 17163.

  簡単に英訳すれば、広告キャンペーンにより登録者は週に3つの広告を受けとる、価格は月額20ユーロで、キャンセルはいつでも無料で行える、というような内容だ。

  実際の支払いの同意が成されているのか、実際に請求書を受けとることになるのかは不明のままだ。また、キャンセルのメッセージには、実は5ユーロかかるという主張もある。17163は有料SMS枠にあるため、可能性はある。

  CERTによると、支払い請求はユーザの承認無く行う事はできない。よって、GTradeIncに連絡しようとはせず、メッセージを無視し、もし携帯電話の明細に余分な請求があったら、修正を申し立てることだ。

  しかし、携帯電話会社に連絡して、GTradeIncと支払い合意が成されていないことを確認する方が賢明だろう。

ローカライズされたランサムウェアでフィンランド人が標的に

ここ数日、我々はフィンランド語にローカライズされ、フィンランド警察からのものだと称するランサムウェアが、フィンランド人を標的にしているという報告を受けとっている。

  問題のランサムウェアは、我々が「Trojan:W32/Ransom」と呼んでいるファミリーの一部で、ヨーロッパの数カ国でローカライズされている:ドイツ;英国;スペイン;そしてフィンランド。全ての国で、このソーシャル・エンジニアリング手法は同一だ。感染すると、同ランサムウェアはInternet Explorerをフルスクリーンに拡大(F11)し、地元の警察部隊からとして、ユーザのコンピュータが幼児虐待および動物虐待を含むサイトをブラウジングするのに使用されているというメッセージを表示する。また、テロリズムに関連するトピックの電子メールスパムを送信するのにも用いられており、罰金を支払うまではロックされるとも主張する。

kuvakaappaus
Image: Poliisi

  このケースでは、ランサムウェアは「Tietoverkkorikosten tutkinnan yksikko」、翻訳すると、情報ネットワーク犯罪ユニットからのものだと主張する。しかしフィンランド警察には、このような名称のユニットは無い。また、フィンランド語のクオリティもあまり高く無く、連絡先が「cyber-metropolitan-police.co.uk」となっていることも注意すべきだ。更に調査したところ、「cyber-metropolitan-police.co.uk」ドメインは、ポーランドのGette居住の架空の人物「be happy」氏に登録されていることが分かった。何とも信頼できそうなことだ。

  フィンランド語の身代金メッセージは、 Paysafecardを使用して支払いするよう求めている。これは匿名のオンライントランザクションで使用できる使い捨てのプリペイドカードだ。フィンランドのキオスクで全国的に販売されている。

  「エフセキュア インターネット セキュリティ」はTrojan:W32/Ransomの既知の亜種を、ファミリーネームもしくはジェネリックディテクションネームで検出するが、いつものように、注意した方が良い。我々のバックエンド統計は、これが確かに「liikkeella」(イン・ザ・ワイルド)であることを示しているのだ。

  このトロイの木馬の最初の感染ベクタは、JavaランタイムエクスプロイトかAdobe Acrobat PDFリーダーエクスプロイトだったが、使用されている新規の(ゼロデイ)エクスプロイトについての情報は無い。

  よって安全を守るには:

1. Acrobat PDFリーダーを最新版にアップデートするか、他のPDFリーダーにスイッチすること。
2. Javaランタイムをアップデートする。あるいは、Javaが必要ないなら、アンインストールするのが非常に望ましい。Javaが必要ならば、少なくとも使用していない時はブラウザで使用停止することを考えて欲しい。もしくは、Javaが未知のサイトから実行される前に知らせてくれるGoogle Chromeにスイッチしよう。

  もしランサムウェアによりコンピュータに障害が起きているなら、マルウェアの作者に一切支払をしないこと。ほとんど全てのケースで、支払をしたところでコンピュータは解放されないのだ。また、フィンランド警察も、世界のいかなる警察も、罰金の支払いにPaysafe、Ucash、あるいはその他のプリペイド請求システムを使用することは無い。もしメッセージが、クレジットカードもしくはその他の支払い方法を求めた場合は、ほぼ間違いなく詐欺であり、本物の政府職員では無い。

リンク:

  •  フィンランド警察の勧告 08.03.2012
  •  フィンランド警察の勧告 09.03.2012
  •  Cert-FIの勧告

さようなら、スティーブ・ジョブズ

  スティーブ・ジョブズが亡くなった。

  Googleはトップページを変更し、敬意を表している:

Google's Steve Jobs tribute

  「Steve Jobs」は、「apple.com」にリンクしている:

Apple

  そしてAppleによるジョブズの写真からは、このメッセージにリンクしている:

Apple remembers Steve Jobs

  非常に感動的な言葉だ。

  Google側のセキュリティ措置としても良いものだ。

  このニュースを耳にするやいなや、我々は慎重さに欠ける人々を対象に、最後にもう一度、ジョブズを利用しようとするマルウェアやスキャムなどの試みに注意を向け始めた。ニュース速報が出るたびに、こうしたことが起きる。今年3月に起きた日本の地震と津波が顕著な例だ。ニュースが発生すると、検索エンジン最適化詐欺が起きる。

  現在、「スティーブ・ジョブズ 葬式」と検索すると、結果の最初のページにスキャムが現れる。

Google Search results

  以下のサイト「stevejobsfuneral.com」は、15分の1の確率でMacbookが当たるというクジのため、電子メールアドレスを収集しようとするものだ。そして、リンク先のオンラインストアでは、購入することでジョブズに敬意を表することができるとして、Apple製品の販売を行っている。

  このサイトにとって都合の良いことに、このリンクにも、リンクを通して商品が購入されると利益が得られる、アフィリエイト広告情報が含まれている。

  「stevejobsfuneral.com」を避けるべきことは、おそらく言うまでもないことだろうが、このサイトは9月20日には既に登録されていた。ハゲワシはかなり前から旋回していたのだ。

stevejobsfuneral.com: scumbag website

  ニュースを検索する際には、常識だけでなく「news.google.com」も利用することだ。

  「Google Search」は悪意あるサイトをフィルタリングするという、非常に適切な仕事をしているが、最近、スパムと(広告に関連した)スキャムに関してヘマをしているようだ。あなたの国で利用できるなら、「Google News」を利用すること。

—————

スティーブ・ジョブズのご冥福をお祈りする。

「SHA-1+salt」はパスワードに十分だと思いますか?

  アナーキーなインターネットグループ「Anonymous」が先頃、HBGary Federalとルートキットテクノロジの分析と開発に専心しているオンラインフォーラム「rootkit.com」をハッキングした。「rootkit.com」の全ユーザパスワードに障害が起きている。

  この件に関連して、アプリケーションセキュリティで気に入っているトピック、すなわちパスワードハッシュについて指摘したい。

I've forgotten your password again, could you remind me?

  Web(およびその他の)アプリケーションが、ユーザパスワードのハッシュにMD5、SHA1またはSHA-256を使用しており、先進的なデベロッパさえ、そのパスワードをsaltしている。そして私は長年に渡って、salt値はどのように生成されるべきか、どのくらいの長さであるべきかについて、白熱した議論を目にしてきた。

  残念なことに、ほとんどの場合、MDおよびSHAハッシュファミリーは計算速度のために設計されており、そして「rootkit.com」で起こったように、salt値のクオリティは、攻撃者が完全なコントロールを握ったとき、重要ではないという事実が見逃されている。攻撃者がルートアクセスを有するとき、彼らはあなたのパスワード、saltおよびあなたがパスワードを確認するために使用するコードを獲得する。

  そして、どんなセキュリティ設計でも基づくべき推測は、攻撃者がサーバ上のすべてにアクセス可能である、ということだ。

  saltは主として、レインボーテーブルとしても知られる、事前計算された攻撃を防止することを目的としている。そして事前計算された攻撃が防止される限り、たとえ攻撃者がユーザパスワードと共にsalt値を獲得したとしても、パスワードは比較的安全だと、一般に推測されてきた。

  しかしMDおよびSHAハッシュバリアントは、計算速度のために設計されており、これは、処理用のビデオグラフィックスディスプレイカードを使用すると、攻撃者が1秒に何億ものブルートフォースを容易に試みることができるということを意味する。

  以下を参照:http://www.golubev.com/hashgpu.htm

  すなわち、単一のATI HD 5970でさえ、攻撃者は33日で典型的レインボーテーブル(2^52.5ハッシュ)に相当するパスワードスペースをカバーすることができる、ということを意味している。そしてシリアスな攻撃者が、仕事に複数のカードを使用していることは間違いない。

  攻撃者があなたのsalt値とコードを獲得した場合、ユーザアカウントを保護するものは、使用されているパスワードの強度しかないが、我々はあまり、エントロピーの良いソースであるとは言えない。辞書攻撃とブルートフォースの手法を組み合わせることによって、多くのアカウントを持つ大規模サイトであっても、かなりの量のパスワードを破るのに、それほど長い時間はかからないだろう。

  このような事態を避けるには、どうすべきだろう?

  最初に考えるべきことは、パスワードが現実世界の金庫に非常に似ているということだ。重要なのは、中身を守る金庫を開けるのに必要なコードの長さだけでなく、開けるのにどのくらいの時間が掛かるかということだ。

  これは、SHA1あるいは他のプレーンなハッシュアルゴリズムは明らかに、セキュアなパスワード認証向きではないことを意味している。

  我々が使いたいのは、ブルートフォースに対して無力でないものだ。1秒あたり23億回の試みを行う代わりに、あなたは攻撃者を10,000回あるいは100,000回の試みに制限する何かを望むだろう。

  そしてsalt値の使用は適切なインプリメンテーションに不可欠であるものの、あなたの問題を解決する確実な方法ではないのだ。

  それには、以下のプロパティを満たすパスワードハッシュスキームが必要だ:

  •  処理パワーが増大した場合、必要とされる計算時間を容易に調節することができる。
  •  各ユーザが反復の固有番号を持つことができる。
  •  各ユーザハッシュがユニークであり、2人のユーザが同じパスワードであるかを、ハッシュを比較して知ることが不可能である。

  以下から、こうしたスキームをいくつか選ぶことができる:

  •  PBKDF2 http://en.wikipedia.org/wiki/PBKDF2
  •  Bcrypt http://www.openwall.com/crypt/
  •  HMAC http://en.wikipedia.org/wiki/HMAC

  各選択肢はそれぞれの強みと弱みがあるが、これらは全てSHA1+saltのような汎用ハッシュのインプリメンテーションより、はるかに強力だ。

  よって、あなたがパスワードを扱っているなら、上記のスキームのうち1つを選び、望ましい時間(10、200msなど)内にサーバがパスワードをチェックする反復の回数を決定し、それを使用する。攻撃者が各反復で全アカウントに対して試せるようにするのではなく、各アカウントに個別にフォーカスさせるよう、各ユーザに対してユニークなsalt値と反復カウントを用意することだ。

コードサイニング証明書獲得に用いられる企業ID窃盗

  先週、ラボは大量に出回った奇妙なマルウェア群を特定した。有効なAuthenticodeコードサイニング証明書でサインされたファイルだ。

Company X's stolen certificate

  このようなものを、我々は以前目にしたことがある。しかし今回のケースは、連絡先が非常に本物らしい点が奇妙だった。通常、有効だが悪意ある証明書では、詳細は明らかに虚偽であるか疑わしいものだ。

  私は、この証明書にある名称とアドレスに該当する企業を探し、産業用プロセス制御とオプティマイゼーション関連のサービスを提供する、小規模なコンサルティング会社を見つけた。

  この会社に連絡をとり、彼らのコードサイニング証明書が盗まれたことに気づいているかどうかを尋ねた。そして彼らがコードサイニング証明書を有していないと回答したため、事態は私にとってより興味深いものとなった。実際、彼らはソフトウェアを作成しておらず、それゆえサインすべきものなど何も無いのだ。明らかに、誰かが彼らの名前で証明書を獲得したわけだ。彼らはID窃盗の被害者ということになる。

  私は、被害者と不正な証明書にサインした認証局であるComodoの助けを借りて、このケースを調査した。そして同証明書が、実在の従業員の名前で申請され、Comodoは電子メールだけでなく、電話による確認も行ったことが分かった。この詐欺師は、その従業員の電子メールにアクセスすることができ、電話による確認は、違う人のところにかかったか、何らかの誤解があったようだ。そのため、電話によるチェックは、このケースを食い止めることができなかった。

  Comodoは不正な証明書の取り消しを行い、同証明書でサインされたすべてのファイルは、自動的にブロックされる。

  また、今回の調査で、私は被害を受けた従業員が、他のCA会社Thawteからの電話を受けとったことを知った。Thawteは彼女に、会社の名称でコードサイニング証明書を申請したかを尋ね、彼女はそれに対し「いいえ」と回答した。そしてThawteは、証明書受け付けのプロセスを打ち切った。どうやらこのマルウェアの作者は、アプリケーションプロセスを操作するため、すべてが上手く行くまで、複数のCAを試したようだ。

  このケースは、コードサイニングの信頼性に対して深刻な懸念を与えるものだ。

  詐欺師たちが企業の電子メールにアクセスできる場合、その企業からの申請が本物かどうかをCAが確認することは非常に難しい。将来的に、間違いが起きることもあるだろう。評判の良い無実の企業が、マルウェア作者のプロキシとして、有効な証明書を入手するために利用されるという、今回のようなケースを目撃することが増える可能性は高い。

  認証局は既に、疑わしい証明取得の試みや、その他のシステム悪用に関する情報をパスする手段を有している。しかし、これらのシステムは人間によって維持されており、それゆえ間違いも起こりうる。我々は、現行のシステムでは、証明書はファイルの素性に対する100パーセントの保障とはならないという事実を受け入れるべきだ。

  いくつかの認証局で提供されているシングルエントリの現状は、セキュリティの観点から見て良いことではない。認証局は、単一のドメイン名、たとえば「f-secure.com」が、一度に1つのレジストラのみがホスティング可能なドメイン名と同様、類似したプロセスを持つべきだ。

  また、コードサイニングあるいはSSL証明書は、一度に1つのCAのみにより署名することができるようにすべきだろう。

  そうすれば、何者かがエフセキュアの名前で証明書を得たいと考えた場合、その人物はエフセキュアが現在証明書を得ている、エフセキュアと取引関係のあるCAからのみ、獲得することができ、その結果、すべての証明書の新規リクエストは、既存の連絡窓口で確認されることになる。こうしたことを可能にするには、CAは情報リソースを集約する場所が必要となるだろう。

  すべてのCAが、どのような名称でも証明書を交付できるという現行モデルは、スキャムやソーシャルエンジニアリングの可能性があまりにも高いことを考えれば、セキュアではあり得ない。

  コードサイニングの悪用について、さらに知りたいとお考えの方のため、この10月、私は「T2 Information security conference」でプレゼンテーションを行う予定だ。

T2'10

サインオフ
ジャルノ

スマートフォン・スパイ・ツールの使用により50人が逮捕

  「The Register」が、配偶者やライバル、何らかの動機から犠牲者として選ばれたその他の人々を、スマートフォン・スパイ・ツールを使用してスパイしたという理由で、ルーマニアで50人が逮捕された事件に関する興味深い記事を掲載している。

  エフセキュアでは、2006年には既に、このようなスパイ・ツールをカバーしている。当時、こうしたツールの最初のバージョンは、トロイの木馬と分類されており、その後の亜種はリスクウェアと分類されている。最近、この手のツールはあまりニュースになっていないが、今回のルーマニアのケースでも分かる通り、アクティブに利用されているのだ。

  これらのスパイ・ツールは、誰かが他人のプライベートな事柄についてスパイしたい場合、入手できるツールは何であれ使用する、という、昔ながらの問題の現れにすぎない。嫉妬深い夫や疑い深い妻たちは、少なくとも15年前から配偶者のPC上にキー・ロガーや他の他のモニタリング・ツールをインストールしてきた。そして電話用のスパイ・ツールが利用できる現在、スパイのツールキットに新たなツールが加わり、犠牲者の電話に対して使用されることになる。

  すなわち、自分のプライバシーに懸念を抱く理由があるならば、電話に注意を配り、何らかのプロテクションをインストールする方が良いだろう。

  これらモバイル・スパイ・ツールに関する朗報は、デバイスに対してリモートではインストールできないという点だ。誰かが犠牲者をスパイするためには、その電話にアクセスし、ソフトウェアをインストールする必要があるのだ。よって、これらのツールに対するシンプルで効果的なプロテクションは、電話にロック・コードを設定することだ。電話がロックされていれば、誰もこっそりと、その電話に不必要なソフトウェアをインストールすることはできないのだから。

フィンランドのSMSスパム事例に関するアップデート

  火曜日に我々がご紹介した、SMSスパムからリンクされていたMobile Tubeページのアップデートをチェックした。

  現在、注意書き部分には、サービスは無料であり、このサービスを使用したユーザーは、同社から将来的に、情報やプロモーション・メッセージを受信することを承諾したものとみなされる、ということが書かれている。

  興味深いことに、同ページの下には会社名が書かれていたのだが、現在は削除されている。

  同ページの注意書きがあてになるものであるなら、このSMSスパム・メッセージは現在、無害なものと言える。とは言え、SMSを介して受け取る未承諾なリンクはクリックしないように、という我々のアドバイスは現在も変わりはない。メッセージの背後にいるこの会社は相変わらず、今後の広告メッセージを正当化するために同ページを使用しているのだから。



フィンランドでプレミアム・レートSMSスパムが見つかる

  ヘルシンキに拠点を置く我々のリサーチャーの一人が、昨日、以下のSMSメッセージを受け取った:



  このメッセージはフィンランド語で、翻訳すると「ビデオ・メッセージ!クリック」と書かれている。受信者がこのリンクをクリックすると、「Mobile Tube」という名のサービスの広告のように見えるページが開く。一見したところ、これは単なる一般的なSMSスパムのようだ。



  しかし、もし受信者がこのページの下にある注意書き部分を読めば、ことは興味深い物になる。



  この注意書きはフィンランド語で、ユーザーはプレミアム・レート・サービスを受け入れ、希望するなら契約を取り消すことができると書かれている。

  我々はこのタイプの詐欺を以前見たことがあり、フィンランド語が使用されているものだけでなく、他の多くの言語で報告されている。この詐欺は、ほとんどのオペレーターによりそのまま、ユーザーがWAPアクセス・ポイントを使用可能にすることで有効となる。詐欺師連中は、ユーザーにリンクをクリックさせ、Webページを訪問させることにより、課金するのに必要な情報を獲得する。

  よって、SMSで予期せぬリンクを見たら必ず、そのメッセージを削除し、クリックしないことだ。もしリンクをクリックしたら、そのページに解除リンクがあるかどうかチェックすること。もしあれば、そのサービスを解除し、もしプレミアム・サービス・ベンダにより課金されたら、電話会社に苦情を申し立てると良いだろう。

ワン切り詐欺にご用心

  この手の詐欺は極めて古いものだが、詐欺師たちは現在もまだ使用しており、不用心な人たちを相手に金もうけをしている。そのようなわけで、警告する方が良いだろうと考えた次第だ。

  今日、エフセキュアの上級リサーチャーの一人が、見知らぬ国際番号からの電話を受けたが、電話を取るとすぐに切れてしまった。世界中のレポーターから電話連絡を受けることが多かったなら、彼はおそらく当然のこととして、その番号にかけ直していたことだろう。

  しかし、彼が実際にしたことは、Googleでのナンバーの検索だ。そしてその結果、その番号から電話連絡を受け、一体何の電話なんだろうと不思議に思った人がたくさんおり、そしてより重要なことには、その番号にかけ直した結果、電話料金に不可解なチャージを受けたと文句を言っている人がいることを発見した。

  詐欺師が使用するこの手法は非常にシンプルだ。有料のナンバーを設定し、そのナンバーをランダムに選ばれた一連の電話番号にコールするのに使用し、1度だけ相手の電話を鳴らすか、相手がコールに応えた瞬間に電話を切る。

  その後は、ただ好奇心の強い人々が電話をかけ直してくるのを待ち、待機音か通話中のトーンの音声ファイルをかけて、ユーザーに電話が繋がらなかったと思わせ、利益をかき集める、というわけだ。

  これらのナンバーは通常、1ユーロから5ユーロ程度をチャージしてくる。これは、何千もの人々を騙して電話をかけさせることができれば、かなりの大金を稼ぐのに十分な額であり、同時に苦情が出ない程度には少額と言える。

  この手の詐欺を回避する最良の方法は、見知らぬナンバーからの電話を受けても、かけ直さないということだ。もしその番号がこれまでに見たことがないもののような気がしたり、国番号が聞いたことのないようなものだったら、コールバックする前に、そのナンバーをGoogleWhoCallsMeで検索してみること。

  慎重に振るまうことで、わずかではあってもお金を失わずに済むだろう。

サービスナンバーからのリンク付きSMSメッセージが再燃

bigstockphoto_Mobile_And_Crumpled_Usd_4320077.jpg bigstockphoto.com

  我々がSMSスパムに関して記事を掲載して以来ずいぶん日が経つ。(以前の記事その後のフォローアップ

  現在、我々は金銭的な詐欺を伴う新たな事例を耳にしている。
  この詐欺は、ユーザが思わずリンクをクリックしたくなるようなテキストと共に、SMSで無害に見えるWebページへのリンクを受け取ったユーザが対象だ。

  ユーザが携帯電話のWebブラウザでこのリンクをオープンすると、その人がサービスに登録した旨を知らせるページが現れる。そのサービスでは自動的に、月額数ユーロが課される。ここに至って、我等がユーザはようやく、受け取ったSMSメッセージがスパムであると知り、何もクリックせずに携帯のWebブラウザを閉じるのだ。

  そして通常はこれで終わりとなる。このユーザは個人情報を何ら入力していないため、スパム企業は請求書を送ろうにも、彼を特定する情報を得ていないからだ。

  しかし、今回のケースでは状況が少し異なる。ユーザが自分自身に関する情報をまったく入力していなくても、高価なコンテンツ・サービスに登録されてしまい、電話料金にチャージされることになる。
  このようなことは、どのようにして起こったのだろう?

  この詐欺が上手く行く重要なポイントは、携帯電話のブラウザだ。携帯のWebブラウザは、インターネットアクセスするのに、デフォルトではWAPゲートウェイを使用するよう設定されている。WAPゲートウェイはカスタマをオンラインで識別するための方法であり、サービスに対して課金情報を提供する。従って、携帯のWebブラウザを使用して、WAP接続を介してあるページを訪問しただけで、不正直な企業が、ユーザの携帯料金に自動的に請求を加算するのに十分な情報を与えてしまうことになる。
  このプラクティスが合法か否かは、そのユーザが居住する国による。我々は法律家ではないので、この件についてこれ以上詮議することはしない。

  この手の詐欺から身を守るための、非常に簡単な方法がある。それはWAPゲートウェイを使用しない、ということだ。通常、GSMサービス・プロバイダはユーザに、WAPゲートウェイを使用しないアクセス・ポイント設定を含んだ設定情報を送ってくる。非WAPアクセス・ポイントを使用するには、携帯のWebブラウザ設定メニューで、「アクセス・ポイント」もしくは似たような内容の設定項目を探し、これを「WAPサービス」というような設定から変更すれば良い。

  Webにアクセスする際、WAPゲートウェイを使用しないことの欠点は、有料コンテンツにアクセスできないという点であり、プラスの側面はランダムなWebサイトが、ユーザを識別するのは容易ではないという点だ。

  その他、ユーザが高額な請求をブロックし、どんなサービスを使用したいかを指定する手段を、携帯電話会社が用意しているかどうかチェックするという方法もある。
  たとえば、フィンランドのほとんどのオペレーターは、ユーザがSMSトラムや地下鉄の切符のような情報サービスや公共サービスは使用したいが、サードパーティのエンタテインメント・サービスはブロックする、という風に指定できるようにしている。

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード