エフセキュアブログ : by：ティモ・ヒルヴォネン

　脆弱性の研究者はJavaを愛しているに違いない。最近は特にJavaの2Dサブコンポーネントが、研究者たちの愛を感じていたように思われる。なぜなら2Dサブコンポーネントは、今年3月のCVE-2013-0809およびCVE-2013-1493に対する定例外のパッチ以降、合計で18個の修正済みの脆弱性があることになり、パッチ数が最多のサブコンポーネントとなったのだ。幸運にも、世間で唯一不正利用されたのはCVE-2013-1493のみとなっている。

　8月12日月曜日、さらにもう1つのJavaエクスプロイトへのリンクが共有された。

Tweet

　ツイートの内容と異なるが、このエクスプロイトは0デイではない。2Dサブコンポーネントのさらにもう1つの脆弱性CVE-2013-2465を悪用する。この問題はJava 7のupdate 21までのバージョンに影響があるが、最新バージョンのJava 7 update 25にはパッチが当てられている。当社ではこのエクスプロイトの検知（Exploit:Java/CVE-2013-2465.A）をリリース済みだが、ここまで現実世界では検出されていない。

　CVE-2013-2465は（まだ）現実に悪用されてはいないが、Java 7 update 21に影響を与える別のJavaの脆弱性CVE-2013-2460が存在する。このエクスプロイトは7月にエクスプロイトキットPrivateにて導入され、それ以来Sweet Orangeエクスプロイトキットでも目撃されている。さらに、カスペルスキー社は、この脆弱性が水飲み場型攻撃で悪用されることを指摘している（ポストの中で言及しているJARファイルはCVE-2012-4681ではなくCVE-2013-2460を悪用する）。

　まとめると、Java 7 update 25とJava 7 update 21のどちらを実行しているかで違いがある。Javaをアンインストールすることや、少なくともブラウザのプラグインを無効にすることが選択肢に無いのなら、最新版のJavaがインストールされていることを確認するとよい。

Grumpy cat

Post by — @Timo

追記：さらに与え続けている。

フランカ市のWebサイトが侵害

2014年01月23日07:27

　当社製品が検知した悪意あるリダイレクタのURLを分析しているとき、.gov.brドメイン上にホストされたFlashオブジェクトが目に留まった。私のポルトガル語の腕はちょっと鈍ってしまったので、ブラジルの当社オフィスにいる同僚に頼ったのだが、彼女は当該ドメインがブラジルサンパウロ州フランカ市に属するものであることを確認した。

　このWebサイト上のJavaScriptファイルの1つに、Flashリダイレクタを読み込む悪意あるコードが書き加えられていた。以下はFiddlerによるセッションの一部だ。

Screenshot of Fiddler session

　黄色で強調したのがリクエストで、悪意あるFlashオブジェクトを読み込み、別のドメインへブラウザをリダイレクトするiflameを挿入する（画面キャプチャのぼかした部分）。

　オープンソースのコンテンツマネジメントシステムJoomlaの、古くなったバージョン1.5の弱点を突かれてWebサイトが侵害されたように見受けられる。これはおそらく、パッチが当てられていないバージョンを稼働している.gov.brのWebサイトに限った話ではない。シニアセキュリティリサーチャーFabio Assolini氏は、Twitterで.gov.brドメイン上のインシデントは非常によくあると指摘している。

　当社は今回のインシデントについて、CSIRT、CTIR Govに連絡を取った。

　当社はこの悪意あるFlashオブジェクト（SHA1:b0c68dbd6f173abf6c141b45dc8c01d42f492a20）をTrojan:SWF/Redirector.EQとして検知する。加えて、このWebサイトが正常になるまで、当社のBrowsing Protectionコンポーネントは侵害されたURLへのアクセスをブロックする。

Post by — @Timo

DeepGuard 5 vs. Word RTFゼロデイ攻撃CVE-2014-1761

2014年04月05日06:36

　Wordの最新のゼロデイエクスプロイト（CVE-2014-1761）のサンプルを入手したので、頻繁に尋ねられたある疑問にようやく答えられる。その疑問とは、エフセキュアはこの脅威から保護するか、というものだ。答えを見つけるために、F-Secure Internet Security 2014で保護されたシステム上で当該エクスプロイトを開いた。結果は次のとおり。

DeepGuard 5 blocking CVE-2014-1761 exploit

　当社のInternet Security 2014は、DeepGuardバージョン5に導入されたエクスプロイトの遮断機能を用いて、この脅威をブロックした。そして、もっとも優れているのは、我々がなんら追加や修正をする必要がなかった点だ。2013年6月のDeepGuard 5の最初のリリースですでに組み込まれていたものとまったく同じ検知機能によって、このゼロデイ攻撃がブロックされた。これは、次のことを意味する。つまり、我々がサンプルを手に入れるずっと前から、またマイクロソフトが攻撃について報告する数か月前から、当社のユーザはこの脅威から保護されていた。DeepGuard 5は何度も（何度も）プロアクティブなビヘイビアベースの保護の威力を示している。

　マイクロソフトは、2014年4月8日ににこの脆弱性に対するパッチをリリースする予定だ。同時に、マイクロソフトが推奨するmitigations and workarounds（軽減策や回避策）を確認すべきだ。

　また当社は通常の検知にExploit:W32/CVE-2014-1761.Aを追加し、ドキュメントを開く前に当該エクスプロイトを検知するようにした。

　Exploit SHA1: 200f7930de8d44fc2b00516f79033408ca39d610

　Post by — Timo

　4月7日追記：

　以下は短い動画によるデモだ。

CosmicDuke：MiniDukeのひねりを効かせたCosmu

2014年07月03日00:55

　「MiniDuke」というバックドアは、NATOや欧州の政府機関に対する一連の攻撃の中で発見され、2013年2月に特定された。我々が2014年4月に行ったMiniDukeの分析中、MiniDukeの第3段階で用いられているローダーと同じものを別のマルウェアファミリーが使用していたことを突き止めた。そのマルウェアとは、情報窃盗を行うCusmuファミリーの一部であり、何年か前から存在する。

　何がMiniDukeへと結びつけたのだろうか。この点は興味深いが、コンパイル時のタイムスタンプによれば、共通のローダーを先に使っていたのはMiniDukeではなくCosmuなのだ。さらに、このローダーはある時点でアップデートされたことを確認したが、両マルウェアファミリーともアップデートされたローダーを採用していたのだ。CosmuはMiniDukeとコードを共有することが分かった初めてのマルウェアなので、MiniDuke由来のローダーとCosmu由来のペイロードが融合したことを示すサンプルに、我々はCosmicDukeと名付けることにした。.

Duke on the Craters Edge, GPN-2000-001132

Duke on the Craters Edge, GPN-2000-001132

　（写真：NASAアポロ16号月着陸船パイロットCharles M. Duke）

　CosmicDukeの攻撃ファイルで犠牲者を誘い込むために使われているファイル名やコンテンツには、ウクライナ、ポーランド、トルコ、ロシアといった国々を示唆するものが含まれている。一般には言語を使用していたり、または行事や団体を明に暗に示している。選ばれたファイル名やコンテンツは標的の興味に合わせているように見受けられる。もっとも、我々はその犠牲者のアイデンティティや場所について、いまだに他の情報は持ち合わせていないのだが。

　CosmicDukeの感染は、標的を騙して、エクスプロイトを含むPDFファイルを開かせるところから始まる。もしくはドキュメントファイルか画像ファイルのように見えるように操作されたファイル名を持つ、Windowsの実行ファイルだ。ユーザに囮ドキュメントを表示するサンプルもある。以下のファイルにはUkraine-Gas-Pipelines-Security-Report-March-2014.pdfという名前が付けられている。

CosmicDuke decoy

　少々変わったタイプの囮を以下に示す。ロシアの領収書だ。この画像ファイルの興味深い点は、EXIFのメタデータを持つところだ。写真がいつ撮影されたのかや、写真を撮るために使用された携帯電話のモデルが含まれている。

CosmicDuke decoy

　標的がこの悪意のあるファイルを開くと、CosmicDukeはシステム上に存在するようになり、情報の収集を始める。データ収集コンポーネントには、キーロガー、クリップボード・スチーラー、スクリーンキャプチャ、そして各種の人気チャット・メール・Webブラウザのパスワード・スチーラーが挙げられる。またCosmicDukeはシステム上のファイルに関する情報も収集し、暗号用の証明書と関連する秘密鍵をエクスポートする機能も持つ。

　いったん情報が収集されると、FTPでリモートサーバに送出される。CosmicDukeはシステムから情報を盗み出すのに加えて、攻撃者がシステムに別のマルウェアをダウンロードして実行できるようにもする。

　エフセキュアは既知のCosmicDukeのサンプルで使われている、さまざまな悪意のあるコンポーネントをすべて検出する。

　技術的な詳細について知りたい場合には、当社のCosmicDukeの分析レポートを参照してほしい。

　Post by — Timo

CosmicDukeと最新の政治ニュース

2014年09月19日06:13

　2014年7月にCosmicDukeのレポートを公開した後も、我々は積極的にこのマルウェアの追跡を続けてきた。本日、我々は新たに2つのサンプルを発見した。双方ともタイムリーな政治トピックを扱っており、受け取った人に悪意のあるドキュメントを開かせるようにだます。

　1つ目はウクライナの危機とロシアに対するEUの制裁について述べており、オリジナルのドキュメントはここで公開されてから1週間経っていない。

　2つ目のドキュメントのトピックは時事問題、つまり本日のスコットランドの独立を問う投票に明確に焦点を合わせている。オリジナルの記事は今週初めに公開された。こちらが囮ドキュメントだ。

　攻撃者が最新の政治ニュースに通じており、また非常に機敏であることは明白だ。ソーシャルエンジニアリングのオッズを引き上げる情報を迅速に活用する能力や素養を持っている。

　もしCosmicDukeや、最新のサンプル、またその他の興味深い発見についてさらに知識を得ることに関心があるなら、10月23～24日にフィンランドのヘルシンキで開催される情報セキュリティカンファレンスT2にて、詳細に論じられる予定だ。

Moudoorを単純には分析しない

2014年10月15日01:06

　組織力があり洗練されたサイバー諜報組織に対抗する共同キャンペーンにおいて、本日、重要なマイルストーンに到達したことが分かり、我々は喜びを感じている。この特定の組織の活動を妨害することを目的とした、Novetta社が主導するCoordinated Malware Eradication 戦略に、当社はつい先日から参加した。他のセキュリティベンダー、特にインサイト、シスコ、Volexity、Tenable、ThreatConnect、 ThreatTrack Security、マイクロソフト、シマンテックも協力している。当該組織が利用していた脅威に対する、改良した非難声明を、本日共同でリリースした。

　この諜報組織は、中国との強力な結びつきがあると我々は考えているが、金融、教育、政府から政策集団やシンクタンクまで複数の業界を標的にしてきた、この組織は遅くとも2010年以降、活動を行っていた。

　攻撃者たちは活動を行うために、いくつか異なったツールを用いている。この犯罪者たちが使っているツールの1つが、Moudoorである。

　Moudoorは、長期間に渡って数多くの派生版を生み出した、有名なGh0st RAT（Remote Access Tool）から派生したものだ。実際のところ、遅くとも 2008年以降、ソースコードはインターネット中を循環し続けている。

　Moudoorという名前は、当該マルウェアのコンポーネントによりエクスポートされる関数名にちなんでいる。

screenshot1_mydoor (21k image)

　後のバージョンでは、このような明示的な文字列は引っ込められたが、脅威の名前として残っている。

　Moudoorと、それ以外の数多くのGh0stの派生物とを見分けられるようにするものの1つは、 C&Cサーバと通信する際に使用する、特定のマジックバリューだ。この値は定常的に「HTTPS」にセットされ、我々がこの特定の系統を長期間追跡する際に使用してきた、主要な識別要素の1つなのだ。

　根本的に、Moudoorは強力なリモートアクセス用のツールである。通常、Moudoorへの感染を引き起こす一連のイベントは、水飲み場型攻撃を通してゼロデイの脆弱性を侵害するところから始まる。たとえば、攻撃者はCVE-2012-4792を用い、その後、最終的にMoudoorを被害者のマシンに到達させていた。

　Moudoorは素晴らしい機能を持っているが、その一部はGh0st RATの派生物から受け継いだものだ。Gh0stには豊富なファイルシステム操作機能や、高度な諜報、監視機能などがある。

　もちろんMoudoorの作者は、新機能を追加したり不要な機能を削除したりして、長い間この「フォーク」をカスタマイズし続けてきた。たとえば、Moudoorの初期のバリアントは、リモートシェルを開くGh0stの能力を維持していたが、この機能はもっと新しいバージョンでは無くなっている。その一方で攻撃者は、彼らの必要性や関心に特化した情報を被害者のマシンから抽出するように取り組んできた。

　Moudoorのコードの分析により、この脅威の作者が中国人であるというヒントを得た。実行中、当該マルウェアはその時点での情報を含む文字列を組み立てるが、人間が読めるフォーマットで時刻を表すために、文字列に中国の文字を使っている。

screenshot3_chinese (24k image)

　この取り組み全体についてのより詳細な情報は、ここで読むことができる。またマイクロソフト社もこの取り組みについての情報を公開した。こちらのリンクから閲覧できる。

　当社では当該ファミリーをBackdoor:W32/Moudoorとして検出する。当社の顧客は自動的に、攻撃者が使うことが知られているツールを検出するための更新を受け取る。またOnline Scannerを用いて、侵害の兆候がないか確認することもできる。当社のOnline Scannerはスタンドアローンのツールで、インストールを要しない。つまり単純にダウンロードして起動すると、感染が無いかを迅速に確認できる。

Moudoorのハッシュ：

0fb004ed2a9c07d38b4f734b8d1621b08be731c1
83f3babe080ef0dd603ea9470a4151354f0963d5
b315fe094bb444b6b64416f3c7ea41b28d1990a4

CVE-2014-8439に対するFlash Playerの予定外のアップデート

2014年11月26日00:35

　エフセキュアが報告した、Flash Playerに内在する脆弱性に対応するために、Adobe社は予定外のアップデートを公開した。

　我々はAnglerと呼ばれるエクスプロイトキットによるFlashのエクスプロイトを分析している際に、この脆弱性を発見した。高名なエクスプロイトキットの研究者であるKafeineよりサンプルを入手した。同氏は我々に、Flash Player 15.0.0.189は侵害せずに15.0.0.152は問題なく侵害するような脆弱性を特定するように依頼した。このことは、APSB14-22でパッチが当てられた何かが脆弱であることを示唆する。しかし、Microsoft Active Protections Program経由で我々が受け取った情報によると、このエクスプロイトはAPSB14-22（CVE-2014-0558、CVE-2014-0564、CVE-2014-0569）でパッチが当てられたいずれの脆弱性にも合致しなかった。

　おそらく、最新のパッチはエクスプロイトの動作を妨げたが、脆弱性の根本的な原因はまだ修正されていない。我々はこの可能性を考えたので、Adobe Product Security Incident Response Teamと接触をした。同チームは我々の説を確認して、予定外のアップデートをリリースした。コードの実行を引き起こしかねないメモリポインタの逆参照の扱いにある脆弱性CVE-2014-8439に対して、さらに堅牢にしたのだ。

　Anglerは2014年10月21日には既にこの脆弱性を侵害しており、そのすぐ後にエクスプロイトキットAstrumおよびNuclearが続いたと、Kafeineは報告している。このエクスプロイトキットの作者は、10月のFlashのアップデートを2日でリバースエンジニアリングした。これを考えれば、直ちにアップデートをインストールすることは最優先事項だ。それを手動でやろうと自動でやろうと。

　エフセキュアはこの記事で触れたFlashのエクスプロイトを以下のように検知する。

• Exploit:SWF/Salama.H
• Exploit:SWF/CVE-2014-0515.C

Post by — Timo