エフセキュアブログ

エクスプロイト を含む記事

DeepGuard 5 vs. Word RTFゼロデイ攻撃CVE-2014-1761

 Wordの最新のゼロデイエクスプロイト(CVE-2014-1761)のサンプルを入手したので、頻繁に尋ねられたある疑問にようやく答えられる。その疑問とは、エフセキュアはこの脅威から保護するか、というものだ。答えを見つけるために、F-Secure Internet Security 2014で保護されたシステム上で当該エクスプロイトを開いた。結果は次のとおり。

DeepGuard 5 blocking CVE-2014-1761 exploit

 当社のInternet Security 2014は、DeepGuardバージョン5に導入されたエクスプロイトの遮断機能を用いて、この脅威をブロックした。そして、もっとも優れているのは、我々がなんら追加や修正をする必要がなかった点だ。2013年6月のDeepGuard 5の最初のリリースですでに組み込まれていたものとまったく同じ検知機能によって、このゼロデイ攻撃がブロックされた。これは、次のことを意味する。つまり、我々がサンプルを手に入れるずっと前から、またマイクロソフトが攻撃について報告する数か月前から、当社のユーザはこの脅威から保護されていた。DeepGuard 5は何度も何度も)プロアクティブなビヘイビアベースの保護の威力を示している。

 マイクロソフトは、2014年4月8日ににこの脆弱性に対するパッチをリリースする予定だ。同時に、マイクロソフトが推奨するmitigations and workarounds(軽減策や回避策)を確認すべきだ。

 また当社は通常の検知にExploit:W32/CVE-2014-1761.Aを追加し、ドキュメントを開く前に当該エクスプロイトを検知するようにした。

 Exploit SHA1: 200f7930de8d44fc2b00516f79033408ca39d610

 Post by — Timo

 4月7日追記:

 以下は短い動画によるデモだ。



4月8日:XPだけの問題ではない

 4月8日が間近になっている!そしてそれが意味するところは…。


カウントダウンクロック

 …Windows XPのサポートの終了だ。しかしXPだけではない。Office 2003も命を終えようとしている。

 今現在、Officeのある脆弱性が野放しになっているため、これを知っておくことは重要だ。

 マイクロソフトは昨日、Security Bulletin Advance Notificationを公表した。

Microsoft Security Bulletin Advance Notification for April 2014

 そして良いニュースがある。Wordの脆弱性に対するパッチが作成されている模様だ。いまだOffice 2003を使用中のすべての方にとって、この更新を適用することは不可欠だ。なぜか?パッチのリバースエンジニアリングが行われ、関連するエクスプロイトがエクスプロイトキットに埋め込まれるまでに、わずかな時間しかないためだ。この観点からすると、Officeがインストールされている方全員にとって、Webの閲覧は一層危険に満ちたものとなる。もしブラウザがRTFファイルを「開く」ように設定されていたら、とりわけ危険だ。

 したがって、次の火曜日のパッチに備えよう。そしてパッチを適用する。

 4月8日以降もまだXPを使い続けるつもりだろうか?それなら、こちらのSafe and Savvyの投稿を確認してほしい。

 7 things to do if you’re going to keep using Windows XP after April 8, 2014

 step 3としてOfficeのセキュリティの設定を厳格にするアドバイスがあることに、特に注意が必要である。次の火曜日までにできるちょっとしたことだ。

脅威の変化  貴社は変化に追いついていますか?

エフセキュアの「脅威レポート 2013年下半期」によると、ウェブ・ベースの攻撃が倍増しています。

実際、ウェブ・ベースの攻撃は最も一般的なものとなっており、またエクスプロイトは攻撃を開始する一般的な手法になっています。インターネットはいまや脅威に感染させる最も一般的な手段です。これは様々な手法で起こり得ます。例えば、マルウェアはエクスプロイト・キットによってウェブサイトを訪れた人のPCに強制的に埋め込まれます。また、悪意のある広告(マルバタイジング)や、シェア・サイトからの感染したソフトウェアのバンドル、そしてもちろんのこと悪意あるサイトからです。

悪意あるダウンロードが停まったとしても、cookyのトラッキングなどユーザを追跡する技術の広がりは、プライバシーが侵害され、個人データが失われることを意味します。




NSAのスパイ行為の発覚により、セキュリティの意識が高い人たちだけではなく、インターネットを利用する全ての人たちの間で、プライバシーを保護することの重要性が認識されました。データのプライバシーと安全性を保つニーズは増大しています。これは、十分な注意喚起が取られ、先端的なセキュリティ・ソフトウェアを使用したときにだけ可能になります。

Javaは引き続き一般的なターゲットになっています。ビジネスでも開発者の間でも、攻撃者を魅了するに十分なほど一般的です。

一般的なマルウェアのいくつかは既に知られたものであります。これらが蔓延するのは、古くてパッチが当てられていない多くのOSやソフトウェアが存在するためです。このような種類の脅威を避けるためには、ソフトウェアをアップデートする自動化ツールの活用が簡単な方法です。



企業環境を守るうえで重要な8つのステップ

企業の端末を、脅威から「保護」された状態にしておくための8つのポイントを紹介します。

1. 安全なOSやソフトウェア、ハードウェアは存在しない

残念ながら、「安全」なコンピュータという概念は、企業環境における深刻なセキュリティホールが放置されうる誤った概念です。安全だと思われている端末が実は保護されていなかったり、監視さえされていないことがしばしば散見されます。したがって、端末のOSや使用しているソフトウェア、およびこれらを実行しているハードウェアのすべては脆弱なものであるということを忘れてはいけません。これらすべてには、保護と監視が必要です。

2. 侵入防止機能付きのセキュリティ製品を使う

不審な挙動を監視する侵入防止機能を備えたセキュリティソフトを活用して、最高レベルの保護を確実に行ってください。これは、未知のマルウェアから端末とネットワークを保護する上で有益です。

3. 内部通信もデータの暗号化を

たとえローカルエリアネットワーク内であっても、通信チャネルを安全に確保することは効果的です。1つの端末のセキュリティが破られれば、ネットワーク全体が脅威にさらされることになるだけでなく、内部から攻撃される可能性も出てきます。そのため、すべての通信チャネルを安全な状態に維持することが重要です。

4. 自宅やモバイルでの業務の保護

業務用のノートPCやモバイルデバイスの保護は、比較的対応しやすい問題です。より対応が難しいのは、スマートフォンやゲーム機、さらには自宅のPC、またはUSBメモリのように家庭で使用されるデバイスの保護です。例えば、ある従業員が業務で使用する自宅のPCは、最新のセキュリティソフトを使用していない、あるいは全く保護されていない可能性もあります。また、ITセキュリティについて知識のない家族が使う場合もあります。このPCがウイルスに感染すれば、接続しているすべてのデバイスが感染しかねません。これは考えられる最悪のシナリオであり、外部デバイスからの接続をすべて禁止することで、このような事態を確実に防止することも可能です。しかし、避けられない例外が発生することもまた現実です。
だからこそ、従業員に私物のPCやスマートフォン、タブレット用のセキュリティソフトを提供し、これらのデバイスの定期的なスキャンや検査を行うことは効果的な対策です。エフセキュア プロテクション サービス ビジネス(PSB)のような、簡単に監視できる一元管理された環境にすべてをまとめれば、より安全です。

5. ユーザアカウントの保護

ユーザアカウントは単に社員とEメールアドレスを結びつける手段ではなく、1人のユーザに属するファイル、リソース、情報、権限、ネットワークアクセスのすべてを意味します。ユーザアカウントを保護するためには、従業員が強力かつ唯一のパスワードを使い、それを定期的に変えることが有効です。また、デバイスやパソコンが使用されないまま数分間経過している場合に、自動的にロックがかかるようにすることもユーザアカウント保護の1つです。

6. 「乱用」ではなく「一定の権利」

ユーザの権限レベルを管理することは非常に重要です。マルウェアが活動を行うには権限が必要です。このため、ネットワーク上でのマルウェア感染の影響を最小限に抑えるためには、ユーザの権限をそのニーズに合わせて制限する必要があります。従業員には、業務を行う上での権限が十分に与えられるべきですが、必要以上の権限は与えられるべきではありません。こうした制限の必要性について従業員の理解を得るため、マルウェアの影響や方針の実施について教育することが効果的です。

7. 多数のユーザの多様なニーズ

企業環境が大規模であるほど、ユーザもより多様です。これは、最大限のセキュリティを確保しながら、従業員のニーズを考慮に入れる必要があるということです。例えば、マーケティングや会計、研究開発分野などでは、ブラウザのプラグインやソーシャルネットワークの使用が必要となる場合がありますが、潜在的なリスクが伴います。マルウェアの危険にさらされるリスクを回避するために、これらの使用を制限することができますが、ある特定の状況においては、感染のリスクを低減するために複数のパソコンを使用することも考えられます。

8. セキュリティに関する教育

情報セキュリティに関して従業員をしっかりと教育することですは、他に劣らず極めて重要なことです。脅威やその回避法について知っていれば、より良いセキュリティ対策を自身で実施することができるだけでなく、企業側が端末に適用する制限についても理解を得ることが容易になります。また、ソーシャルネットワークに潜む危険、迷惑メールやフィッシング攻撃、エクスプロイトおよびこれがもたらす損害、また攻撃者がソーシャルエンジニアリング手法を利用して企業ネットワークに侵入する方法についての知識も重要です。

ポリスウェア:善か悪か

 マルウェアの状況は絶えず変化しているが、注目すべき変化の1つは、今日の悪玉が善玉になるかもしれないことだ。つまり、やつらが善人になると考えられるのだ。これをもう少し混乱しないように説明すると、当局はマルウェアの主要なプレイヤーの1つとなっており、アメリカの政府機関はすでに世界でもっとも大口のエクスプロイトの購入者なのだ。

 これにより、我々のような対マルウェア戦士にとって、昔ながらの倫理上の論点がかつてないほど重要になっている。ポリスウェアにはどのように対応すべきだろうか?この種のマルウェアは検知すべきか否か?エフセキュアの立場は明確だ。イエス。当社はどんな種類のマルウェアでも検知する。そしてノー。当局のポリスウェアのためにホワイトリストを持つことはしない。ポリスウェアをホワイトリストに登録する要求を受け取ったことはないし、もし要求されても拒否する。

 これには複雑な心境になるかもしれない。警察が公共の利益のために取り組んでいることに疑問の余地はないからだ。鉄格子の中に送られるべき危険な犯罪者が存在しているのだから、彼らに対して使える武器はなんでも使ってはいけないのだろうか?ポリスウェアをホワイトリストに登録するのを拒否することで、我々は彼らを保護することになっていないか?この問題についてもっと詳しく見ていこう。そうすれば当社の現行のポリシーに対し、別の選択肢が本当に存在しないことが分かるだろう。

 ポリスウェアをホワイトリストに登録することが、なぜアンチマルウェア・ベンダーにとって悪い考えなのだろうか?

  •  当局の権力は常に規定された地域に限られているが、当社のアンチマルウェア技術は世界中で使用されている。ポリスウェアが当該機関の管轄内で使用されているのかをスキャナエンジンが検証する、信頼できる方法はない

  •  いつでも正規の令状が容疑者を特定する。しかし当社のアンチマルウェア技術は全顧客一般に対するもので、ポリスウェアが正規の標的に用いられているのかを確認できない

  •  ホワイトリスト上のファイルに出くわした時に、誰がそれを制御しており、誰に報告を返すのかを当社のスキャナが検証できない。本当のマルウェアがそのようにしてすり抜ける可能性があるので、ホワイトリストは信頼できない

  •  我々には可能な限り顧客をマルウェアから守る義務がある。これは製品を販売する際に約束したことだ。ユーザに対し有効な令状があるケースにおいては、当然ながら例外を作ることはできる。しかし上述したように、その条件を検証することは不可能だ

  •  法律が国ごとに異なる。ポリスウェアが、ある国では合法だが別の国では違法な可能性がある。これは我々が調査するには複雑で実現不可能だ

  •  我々はどの国の権力に仕えるべきか?我々は自国の警察を信じることができるが、スペインや、ブラジル、カナダ、イスラエル、エジプト、中国、北朝鮮、そしてアメリカはどうだろうか?いくつかの国を適当に取り上げただけだが。こうした国にも仕えるべきか?諜報ツールを使うにあたって合法的な動機があることを、当社はどのように検証できるのだろうか?

  •  ポリスウェアが適切な令状がないまま間違って使われたり、あるいは法律に違反しているなら、当社は犠牲者に通知する道義的責任がある。そうでなければ、当社が犯行の一端を担うことになる

 つまり問題なのは、有効な令状が対象にするのはきちんと特定された個人またはグループである点だ。一方、ポリスウェアをホワイトリスト化すると、当社の世界中のユーザベース全体を対象とすることになる。これでは、ホワイトリストの欠点が利点よりも大きくなる

 しかし、これがすべてではない。ホワイトリストについて依頼するのは、政府機関にとってはさらに悪い考えだ、という理由を以下に挙げる。

  •  ホワイトリスト化するには、我々がホワイトリストにあるべきものを知っている必要がある。ポリスウェアは一意性があり信頼性のある識別機構を持っていなければならないことになる。マルウェアの主要な目標は可能な限り検知されにくくすることだが、こうした識別子のおかげでポリスウェアは検知されやすくなり、効果が薄くなる。ホワイトリストにもブラックリストにも使われ得るのだ

  •  ホワイトリストに登録するには、当局がポリスウェアプログラムについて外部に詳細を開示する必要に迫られる。これにより情報漏えいのリスクが高まる。またプログラムの存在そのものについて明らかにしなければならない。ホワイトリストを効果的にするには、当社に限らず多数のアンチマルウェア・ベンダーに持ちかける必要がある

  •  識別機能に信頼性を持たせるには、ホワイトリスト上でポリスウェアと当局とを結び付ける必要がある。これは、自身が当局によって監視されていると知る術を容疑者に与えることになる。さもないと、検知されたマルウェアへの感染が、マルウェアの脅威全体の中に溶け込んでしまい、容疑者へのアラートが必ずしも行われなくなる

  •  最近のニュースで取り上げられて明らかになったように、ポリスウェアの大部分は完全に法律違反であるか、少なくとも根拠があやふやだ。これについて外部に話すのは、当局にとっては賢明ではないということになる

 当局にとって最善の戦略は、不良少年と同じゲームに参加することだ。ポリスウェアを継続的に変更し、アンチマルウェア製品のレーダーをかいくぐって飛ぶようにする。当局のプログラムが捕捉されたら、これを変更して再度試す。標的は、通常のマルウェアの攻撃だと思うかもしれない。法執行機関には大量のリソースがあり、このゲームはうまく成功するだろう。また数多くの犯罪者にはおそらくそれほど技術的な知識はない。巨大で組織化されたギャングでさえ、適切に保護されたコンピュータなしで活動しているかもしれない。真実は映画とは異なる。悪党が世界的な麻薬の売人で、なおかつスーパーハッカーであるというようなことはない。ポリスウェアをホワイトリストに登録しなくとも、大半の犯罪者は標的として脆弱だ。

 ホワイトリストを用いないという当社のポリシーは既に古いものだが、今日ではこれがいまだかつてないほど重要になっている。古き良き時代には、警察は信頼に足るものであった。容疑者に対する令状や行動は、犯罪対策の合法的な部分であるように見えた。こうした伝統的な警察の行為が、まったく異なる動機によって秘密の大衆監視に融合されるのを見るのは悲しいことだ。悲しいだけではない。市民と当局の間に亀裂を生むことになり、恐ろしい。

 これを心に留めると、ホワイトリスト化に厳密なポリシーを適用するのが実際に唯一の選択肢だ、という理由が簡単にわかる。これは常に簡単な選択であったし、今も頭を使う必要はない。

Post by — Micke

NSA:私たちは防衛に大きく偏っていた

 1月7日、Wired誌は「How the NSA Almost Killed the Internet(NSAがほとんどインターネットを殺した方法)」と題するSteven Levy氏の記事を掲載した。

 これは絶対に読む価値がある。

 何といっても、メディアへの情報漏えいに関するタスクフォースを率いるNSA幹部のRick Ledgett氏による以下の部分がある。

 「私たちは防衛に大きく偏っていた。」とLedgett氏は付け加えた。世界中のユーザに影響を与えてきた可能性のある、ある企業のソフトウェアの深刻な脆弱性をNSAが発見した事案について言及したときのことだ。「我々は数日間内部でこれについて議論し、米国政府全体また米国の大半にとって非常に重要な問題なので(当該企業の脆弱性を)開示することを決定した。広範な標的に対して、いつまでも続く好機ではあったのだが。」

Rick Ledgett

 えっ。NSAが責任を持って「ある1つの」深刻な脆弱性を開示した。えーと…。NSAに賞賛を!

 開示に関するこの事例の話は、数多くのゼロデイエクスプロイトや、(JMicron社とRealtek社の)盗まれた証明書で署名されたドライバー、MD5のハッシュ値の衝突、それにStuxnetDuquFlame経由で世界中に解き放たれたCPLINKの脆弱性をほとんど(かなり、どころではない)埋め合わせてしまうものだ。

 我々は防衛に大きく偏っていた?

 お願いだ。これは真面目くさった顔のテストを通らない、というだけのことではない。

DeepGuard 5 vs. ゼロデイエクスプロイトCVE-2013-3906

 水曜日、我々はマイクロソフトのグラフィックコンポーネントにおけるゼロデイの脆弱性について取り上げた。この脆弱性は、Wordドキュメントを用いた標的型攻撃で活発に悪用されている。

 かいつまんでいうと、このエクスプロイトが当社のInternet Securityに敗北する動画が以下にある。


DeepGuard 5 vs. Microsoft Graphic Component Zero-Day Exploit CVE-2013-3906

 動画内のWordドキュメントは実際の攻撃で使われてきたもので、McAfeeAlien Vaultが分析したエクスプロイトの1つだ。分離された試験用ネットワーク上で、64ビット版Windows 7でOffice 2007を実行する脆弱なシステムを用いて、攻撃を再生成した。動画で実演している通り、DeepGuard 5(当社のビヘイビア・エンジン)のエクスプロイトを捕捉する機能によって、システムを感染から防いでいる。

 さらにDeepGuardは、マイクロソフトのアドバイザリよりも前に、誰も最初のサンプルを目にしたことがなくても、先手を打ってこのゼロデイエクスプロイトから顧客を保護していた。

 その上、DeepGuardの検知機能に何ら追加や修正は必要なかった。約1か月前の、先のマイクロソフトのゼロデイ用と同じ検知ルールセットで、今回のゼロデイがブロックされた。

 これがビヘイビアベースのプロアクティブなエクスプロイト検知の力だ。

 Post by — Timo*

 * 編集メモ:ティモは上級研究員で、(正当に言って)当社が誇るDeepGuardサービスの責任者だ。あっぱれ、ティモ!

マイクロソフトのセキュリティアドバイザリ(2896666) #APT

 月曜日、やる気のある攻撃者に関して書いた。そして昨日、マイクロソフトは「大半が中東と南アジアにて」悪用されている脆弱性について、セキュリティアドバイザリを発行した。

Microsoft Security Advisory (2896666)

 マイクロソフトのサポートではFix itツール(Microsoft Fix it 51004)を提供している。

 以下は、影響があるソフトウェアの一覧だ。

Affected Software

 しかしこの一覧について、疑義が生じているようだ。

 InfoWorldの記事をお勧めする。

  •  Deciphering Microsoft Security Advisory 2896666 on Word zero-day exploit(Wordゼロデイ・エクスプロイトに対するマイクロソフトのセキュリティアドバイザリ2896666の解読)

やる気のある攻撃者が望むものをたびたび手に入れるのはなぜか

 組織外の人から見て経済的な価値を持つ可能性がある情報を保持する企業に、あなたはお勤めだろうか?あるいは、共有ネットワークドライブに保存しているドキュメントへのアクセスを得ると、もしかすると外国で役に立つだろうか?イエス?それなら、おめでとう。あなたは既に、しつこくてやる気のある攻撃者(ときに、ただし稀にだが高度な技術を持つ)の標的になっているかもしれない。

 フィンランドCERTのこちらのプレゼンテーションによれば、フィンランドでさえこうした攻撃が10年近く見られる。昨今では、至る所にある。

 標的型攻撃の好例は、2011年にRSAに対して行われたもので、当社ではティモ・ヒルヴォネンが分析を行った。RSAのネットワークでの感染に関して、ティモがオリジナルのソースを探し、最終的に見つけるまでの話は、この投稿にすべて記載されている。

RSA 2011 email

 RSAは、ある従業員宛てのメールの添付として送付されたドキュメントにより侵害された。このドキュメントには従業員のコンピュータに感染したエクスプロイトが埋め込まれており、攻撃者が侵入するのに不可欠な足がかりとなっている。当該コンピュータから、ネットワーク上の残りのコンピュータを侵害するために移動していくのだ。

 Virustotal経由で我々が受け取ったファイルの中から、ティモはドキュメントを見つけた。Virustotalとは、投稿したファイルをいくつかのアンチウイルス・エンジンでスキャンできるオンライン・サービスだ。ユーザはスキャン結果、つまり悪意がある可能性を確認することができ、またファイルはさらに分析するためにアンチウイルス企業に送付される。Virustotalでは日々数十万のファイルが投稿される様子が見られる。

 悪意あるものを検知するかを確認したいので、我々はVirustotalから送付されるファイルの分析に多大な努力を費やしている。日常的なマルウェアに加えて、不審なユーザがスキャンするために投稿するエクスプロイト・ドキュメントも分析している。

APT animation

 上のすべてのドキュメントにはエクスプロイト・コードが含まれ、脆弱性のあるドキュメント・リーダーでこれらのドキュメントを開くと、ユーザのコンピュータにマルウェアが自動的にインストールされる。ドキュメントからは標的について垣間見ることもできる。このような添付ファイルを受け取ることが予期されるのは、どのような人なのだろうか?

 当社の最新の脅威レポートにて、Jarno Niemelaはこうしたドキュメント一式を取り上げ、そこから文章をすべて抜き出して、用語のクラウドを構築した。

Word clouds

 左側の用語クラウドは、テーマが政治的だと当社で分類したドキュメントからだ。右側のものは、企業をテーマにしていると感じたドキュメントによる。これらのクラウドから、攻撃者の興味を引いているのがどういった分野の類なのか、ヒントが得られる。

 しかしながら、同じトリックが永遠に使えるわけではない。エクスプロイトを添付して十分な数のメールを送ったら、標的は学習、適応する。それだからこそ、「水飲み場型攻撃」という形の新たなトリックを我々は目にしてきた。水飲み場型攻撃は次のように機能する。攻撃者は、標的が訪れると思しきWebサイトを探し出す。Twitterや、Facebook、Appleのようなソフトウェア企業を標的にしたいなら、おそらくモバイル開発用のWebサイトを選択するだろう。政府機関を追っているのなら、アメリカの労働省のWebサイトにIE8用のゼロデイエクスプロイトを仕掛けるかもしれない。その後は単に標的が当該サイトを訪れて、感染するのを待つだけだ。

 そしてまたUSBドライブを使った、古くて優れたトリックがある。

Russia USB G20

 G20首脳に提供されたUSBドライブに実際にマルウェアが含まれていたというニュースを裏付ける情報を、我々は持ち合わせていない。もし真実であるなら、少なくとも攻撃者を楽観性が欠けていると責めることはできない。

 つまり防御はシンプルなのだ。同僚からのメール添付を開かず、インターネットでWeb閲覧をせず、USBドライブを利用しなければよい。もちろん実際には、その他のことも数多く念頭に置いておく必要がある。やる気のある攻撃者から守ることは、非常に非常に困難だ。日々、すべての物事を適切にしておかなければならない。攻撃者はあなたが犯す過ちをたった1つ見つけるだけでよいのだ。悪者たちがそれを得るのは簡単すぎる。そして世の中でこれほど多くの組織が攻撃下に置かれているのは、これが理由だ。

 追伸。こうした攻撃から身を守るためのヒントについて、Jarno Niemelaが今秋のVirus Bulletinにて示したプレゼンテーションを参照するとよい。

Neutrino:現行犯で逮捕

 先週我々は、エクスプロイトキットへと導くiframeインジェクションを提供する、ハッキングされたサイトについて、Kafeineからヒントを得た。我々は非常に興味深いと考え、感染したWebサイトの1つを監視して、以下のコード片が潜んでいるのを見つけた。

sitecode



 ぼかしていない方(deobfuscated)のコードは、挿入されたiframeのURLがどこから集められるのかを示している。また同時にリダイレクトを許可するcookieを使用していることが分かる。さらにIE、Opera、Firefoxからブラウズしたユーザのみを標的に感染させることを表している。

 そして現在、ソースサイトや感染したサイトからの、古いが良質な断片情報がある。

injected



 感染したWebサイトが首尾よくリダイレクトをすると、ユーザはNeutrinoエクスプロイトキットに行き着く。これはJavaエクスプロイトを提供するものだ。

redirections



 トロイの木馬のペイロードをまだ十分に解析していないが、最初に確認した際に、以下のIPアドレスにHTTPポストを行っていることが判明した。

mapp



 今週の初め、おそらくまだ完全に影響を受けていない頃、挿入されたURLはgoogle.comに向けられていた。しかしながら、昨日の夕方、完全なオペレーションが開始され、Javaエクスプロイトを提供するNeutrinoにリダイレクトし始めた。

first_instance



 この時系列に基づき、感染したサイトを訪れた各IPアドレスの地点を地図上にプロットした。これらのIPアドレスはこの脅威における潜在的な犠牲者だ。おおよそ8万個のIPアドレスが存在する。

visitor3



 我々はまた、これまでに感染したWebサイトもプロットした。この脅威の影響を受けたドメインは2万超に達する。感染したサイトは、WordPressもしくはJoomla CMSのいずれかを使用しているように見受けられる。

hacked



 なお、この脅威に関する別の情報が、Kafeineのブログに投稿されている。

 このポストに関連があるサンプルは、Trojan:HTML/SORedir.A、Exploit:Java/Majava.A、Trojan:W32/Agent.DUOHとして検知される。

 Post by — Karmina and @Daavid

2013年、日本で急増するセキュリティ脅威 : 続くJavaエクスプロイト

2013年の日本では、JavaエクスプロイトのMajavaファミリーが、検知されたエクスプロイトのトップ五位を占めております。さらにJava Runtime Environment (JRE) の脆弱性CVE-2013-1493CVE-2013-2471を悪用する、他の二つのエクスプロイトにも注意が必要です。

最高に終わっているBlackhole

 インターネットユーザに対してエクスプロイトキットの影響を論じるとき、Blackholeエクスプロイトキットは常に好例であった。我々はかねてより、Blackholeがいかに迅速に新たな脆弱性をサポートするか、どのようにCoolと関連していたのか、そして当社のテレメトリデータの中で普及率が1位であったことをブログの記事で述べてきた。BlackholeとCoolについては、ほぼ常に当社の脅威レポートで特別に言及していた。したがって、これから述べる話題について、当社がどれほど緊密に追跡していたか、簡単に想像できるだろう。

 今週の早い段階でMaarten Boone氏が、BlackholeとCoolの背後にいる首謀者Paunchの結末について、画期的なニュースをツイートした。詳細については提示されていないが、Paunchがロシアで逮捕されたことが確認された。

 このニュースに伴い、我々はもう一度テレメトリーデータを参照することにした。以下のグラフでは、BlackholeやCoolがランキングのトップから、取るにならなくなるまで落ち込んでいることを示している。

ek_hits_2013 (91k image)



bh_cool_2013 (89k image)



bh_cool_oct (26k image)


 得られる限り劇的なグラフだ。Paunchの発案物Blackholeは、エクスプロイトキットのグラフで支配的だったところから、主人の逮捕と共に徐々にシェアを失っている。

 それで、将来はどのようになるのだろうか?世間の種々のエクスプロイトキットの中で、数的に廃れていくだろうか?別のエクスプロイトキットが持ち上がり、Blackholeの位置づけに取って替わるだろうか?あるいは新しいエクスプロイトキットが登場し、市場を奪うだろうか?我々は推測することしかできない。しかしそれでも我々が望みを持っていることが1つある。他のエクスプロイトキットの作者たちも、無敵な2〜3年間を楽しめるかもしれないが、遠くまで延びる法の手によって限界があることを感じ取るだろう。

DeepGuard 5 vs. IEのゼロデイエクスプロイトCVE-2013-3893

 ネタバレ注意:DeepGuardが勝利。

 今日はPatch Tuesdayで、この後マイクロソフトが月例のセキュリティアップデートをリリースする。

 このアップデートは、直ちにインストールすることを強くお勧めする。なぜならパッチが当てられるInternet Explorerの脆弱性の1つCVE-2013-3893は、すでに現実に悪用されているからだ。CVE-2013-3893を悪用するMetasploitモジュールもリリース済みだ。しかし今日がカギになる。悪い奴らが、他の脆弱性に対するエクスプロイトを開発する目的で、このパッチをリバースエンジニアリングするのはほぼ確実だ。

 ある脆弱性に特化した防御策を1つずつ施して、エクスプロイトから保護し続けるのは、本当の意味で可能なわけではない。より先を見越した防御は、悪用する技術に焦点を合わせることで実現できる。これを念頭に、当社のビヘイビア技術DeepGuardのバージョン5では、主要な機能としてビヘイビアベースのエクスプロイトの遮断が導入された。Webブラウザのようなよく侵害されるソフトウェアのビヘイビアを監視することで、ゼロデイエクスプロイトを含め、まだ目にしたことのない脅威からユーザを保護することができる。

 CVE-2013-3893の脆弱性に基づくエクスプロイト経由でシステムが侵害されるのを、DeepGuardが防ぐ短い動画を以下に掲載する。システムに今日のアップデートがインストールされていないなど、動画中のIEのバージョンは脆弱である。動画内のエクスプロイトは実際の攻撃で使われてきており、FireEye社やDell社で言及されていたもの、つまり0x95というXORキーで暗号化されたrunrun.exeのペイロードに非常に似通っている。なお、この攻撃は分離した試験用ネットワーク上のWebサーバから実施した。

 エクスプロイトはcookieをセットして確認することで、同一システムを2度侵害するのを回避している。一度DeepGuardがエクスプロイトをブロックし、強制的にタブを閉じると、IEはタブを再度開くように試みる。cookieがセット済みのため、JavaScriptコードは当該エクスプロイトを飛ばして、単純にユーザをnaver.comへリダイレクトする。


YouTube: DeepGuard 5 vs. IE Zero-Day Exploit CVE-2013-3893

 言い換えると…、当社の技術により、顧客に卓越した防御機能を提供できる。第0日目に。

 このホワイトペーパー(日本語)で、当社のDeepGuard技術についてさらに詳細に確認できる。今日のアップデートをインストールする間に、読んで楽しんでほしい。

 Post by — Timo

企業を狙った持続的標的型攻撃(Advanced Persistent Threat : APT)の傾向

持続的標的型攻撃(APT)は、狙いを定めた組織や業界内のユーザーに対して、エクスプロイトを巧妙に仕掛けた文書を送りつける手法です。2012年から13年にかけて多くのAPTが報告されています。エフセキュアでは収集したAPTの文書から100件をランダムに選択し分析しました。



APTの内容で最大なものは政治的なモチベーションによるところですが、その次に大きなターゲットは企業ユーザーです。企業ユーザーを狙ったAPTの多くの場合、会議の議事録や報告書に似せた文書が使用されます。特に議事録は、通常のビジネスのプロセスの一部として広げられることが多いため、攻撃者が入手して改ざんしたものを拡散することが容易になっています。次に一般的なAPTの文書は報告書です。これらもまた比較的入手しやすく、信頼できるビジネス上の文書として拡散が簡単なためです。特にアジア諸国の宇宙航空産業やエネルギー業界がターゲットとなっており、攻撃者がアジアのこれらの分野に関心を抱いていることが推測されます。

なおAPTのターゲットとされた企業にとって、APTの文書類はセンシティブな内容であることが多いため、これらの文書を共有せず、機密扱いにする場合が多いと考えられます。それでも弊社が共有可能な文書に基づいた限りでも、アジア地域の企業がターゲットになっていることは間違いありません。貴重な情報を有している限り、APTのターゲットになりえます。

IEの脆弱性についてのアップデート #Japan #Metasploit

 2週間以上前、Internet Explorerの脆弱性に関するマイクロソフトのセキュリティ アドバイザリ(2887505)が公表された。その直後、当社は検知するエクスプロイトを追加した。この時点で、マイクロソフトは脆弱性の悪用は限定的だと報告していた。

Microsoft Security Advisory for CVE-2013-3893

 それ以降、メディアサイト経由で日本国内の標的が攻撃されている証拠が表面化してきた。

 そして先週、当社の顧客のアップストリームデータから、台湾で限定的に悪用されていることが示唆された。

 もっとも重要なのは、今ではCVE-2013-3893についてMetasploitがサポートしている点だ。つまりBlackholeのようなよく知られたエクスプロイトキットに追加されるのは、時間の問題に過ぎない。今週でなければ、マイクロソフトが次の火曜日にパッチをリリースする1日後または2日後になるのは、ほぼ確実だ。

 我々は(可能なら)更新されるまでIEを回避することをお勧めする。ネットワークを管理しているなら、Fix itツールがマイクロソフトから提供されている。

2013年上半期、Javaエクスプロイトが急増

エフセキュアは先般、「2013年上半期脅威レポート(THREAT REPORT H1 2013)」を公開しました。2013年上半期の大きな特徴はエクスプロイトベースの攻撃、特にJavaを狙った攻撃が増加の傾向を辿っている点です。当期にエフセキュアが検出した脅威のトップ10のうちのおよそ60%近くがエクスプロイトでした。



とりわけ米国のユーザは脆弱性に関連する攻撃を受けることが多く、1000人あたり78人のユーザがエクスプロイトに遭遇しています。これに続くのはドイツおよびベルギーで、1000人あたり60人がエクスプロイトに遭遇しています。Javaを標的にしたエクスプロイトは、エクスプロイト全体の中でももっとも多いもので、検出された脅威トップ10のほぼ半数を占め、前年下半期の3分の1から上昇しています。

エクスプロイトはプログラムですが、感染したUSBドライブやeメールと同様に、マルウェアをマシンに運び込むための1つの媒体にすぎません。通常、悪意のあるWebサイトや感染したWebサイトを経由した攻撃では、コンピュータにインストールされたアプリケーションのコードの不備を悪用してコンピュータにアクセスし、ユーザを監視したり、パスワードやその他の機密データを盗んだり、サイバー犯罪者にマシンの制御を認めたりするマルウェアを感染させます。


「2013年上半期脅威レポート(THREAT REPORT H1 2013)」の詳細はこちらをご覧ください(英語): 
http://www.f-secure.com/static/doc/labs_global/Research/Threat_Report_H1_2013.pdf



TDLドロッパーの新たなバリアントがCVE-2013-3660を侵害

 最近、我々はTDLバリアントの新種がはやっているのを目にしている。これらのバリアントは、Bitdefender社の研究所が報告した悪評の高いTDL4マルウェアの、クローンになりそうだ。

 我々が目にした、TDLドロッパーの新しいバリアント(SHA1: abf99c02caa7bba786aecb18b314eac04373dc97)は、当社のHIPS技術(以下の画像をクリックすると拡大される)DeepGuardによって、顧客のマシン上で捉えられた。検知名から、当該バリアントはエクスプロイトキットを通じて配布されていることが分かる。

TDL4_clone_exploited_in_the_wild (295k image)

 昨年ESET社が、新しい技術を採用したTDL4バリアント(一部のアンチウィルスベンダーはPiharと呼んでいる)について言及した。新技術とは、HIPSを迂回するためのものと、プロセスの権限を上げて管理者としてのアクセス権限を得るためのものだ。我々が最近見たバリアントのドロッパーも、ESET社のブログの記事で述べられているものと同じ技術を使っているが、いくつかのマイナーな更新もなされている。

 要約:TDL4はMicrosoft Windowsのタスク スケジューラ サービスの脆弱性MS10-092を侵害して、マルウェアのプロセスの権限を上げて、ルートキットドライバを読み込む。新しいバリアントは、セキュリティ研究者のTavis Ormandy氏によって発見されたEPATHOBJの脆弱性CVE-2013-3660をかわりに侵害する。

TDL4_clone_ExploitingCVE_2013_3660 (30k image)

 新たなバリアントと、元からあるTDL4との特筆すべき違いの1つは、設定ファイルだ。これは、ドロッパーのリソース部に、RC4でエンコードされたデータとして埋め込まれている。

TDL4_clone_config_ini (6k image)

 これがCVE-2013-3660を侵害する最初のマルウェアファミリーということはほぼないが、マルウェアの作者がどれだけ早くエクスプロイトコードを一般に利用可能とするかを、はっきりと示している。今回の場合、エクスプロイトコードは3ヶ月前に公開された。

Post by — Wayne

IEの脆弱性でリモートコード実行が可能に

 どのような種類のWindowsシステムであっても、あなたがその管理者であるなら、Microsoft Security Advisory (2887505)は、おそらく必読だ。

Microsoft Security Advisory for CVE-2013-3893

 Internet Explorerの全バージョンに影響がある。

 マイクロソフトは現状「特にInternet Explorer 8および9を狙った、限定的な数の標的型攻撃」について認識している。攻撃における限定的という性質が、近い将来、変わる可能性は大いにある。エクスプロイトキットの提供者が今まさに、その脆弱性に基づいたエクスプロイトを追加サポートするように動いているからだ。当社では、そのようなエクスプロイトの検知がすでに進行している。

 一方、マイクロソフトはFix itツールをリリース済みで、パッチがリリースされる前の潜在的な攻撃を軽減できる。

この10年の脅威環境の変化 - その3 (最終回) -

この10年ほどで起きた脅威環境の変化についてお伝えする3回目です。

標的型攻撃が検出を困難に

標的型攻撃には、不明確なエクスプロイトと配信のメカニズムが含まれる場合があります。
これらの攻撃は通常、狙った被害者が興味を持つトピック、よく使用するオペレーティングシステム、使用しているセキュリティプログラムを考慮し、彼らのプロフィールに合わせて慎重に細工されたドキュメントまたは実行可能ファイルを使用します。
このような攻撃が持つ極めて特有な性質により、従来のシグネチャベースの検出では検出は特に困難です。

クリーンなプログラムを識別することがさらに重要に

グローバルに流通しているクリーンまたは悪意のないアプリケーションは何百万本にも及び、通常のユーザが一度に精通できる数をはるかに超えています。
プログラム数の多さ、インターネットからの入手し易さ、プログラムのアップデートを常に把握しておく必要性を考えると、セキュリティソリューションがユーザ主導によるローカルのホワイトリストおよびブラックリストのみに頼ることだけでは適切な保護を提供できなくなっています。
一般的なコンピュータで使われているプログラムの大半はクリーンであるため、悪意のないソフトを正しく識別することが、本当に有害なプログラムを特定し、それに対処するための大きな一歩です。
セキュリティプログラムのパフォーマンスを最適化し、さらに、ユーザエクスペリエンスへの影響を最小限に抑えるために、クリーンなファイルに対する誤検出を排除することも重要です。





結論:プロアクティブな防御の必要性


今日のますます複雑になっているコンピューティング状況と、流動的な脅威環境がもたらすさまざまな問題を考えると、今や、従来のシグネチャベーススキャンは、エンドポイントセキュリティへの多層的なアプローチのわずか一層に過ぎません。
クラウドベースファイルとWebレピュテーションチェック、HIPS(ホスト型侵入防止システム)、動作分析は、最新のプロアクティブ保護システムに不可欠な構成要素となっています。

この10年の脅威環境の変化 - その2 -

この10年ほどで起きた脅威環境の変化についてお伝えする2回目です。

頻繁に標的にされる人気ソフト

ほぼすべてのソフトで脆弱性は見つかる可能性がありますが、サイバー犯罪者やその他の攻撃者が特に関心を持つのは、Javaランタイム環境(JRE)、Adobe Reader、Microsoft Office、ウェブブラウザなどの人気アプリケーションの脆弱性です。
これらのプログラムにはユーザが数百万人いることから、主要ターゲットにされています。

これらのアプリケーションの多くには既知の脆弱性が複数存在しますが、ほとんどがベンダーからリリースされたセキュリティパッチで修正されます。
しかし修正プログラムを開発し、影響のあるすべてのコンピュータに展開するまでの間は、ユーザのコンピュータは脆弱なままです。
さらに、まだパッチが公開されていない、新しい脆弱性やゼロデイ脆弱性が定期的に見つかっており、ユーザにつけ入るスキが生まれてしまいます。


エクスプロイトキットによって攻撃が容易に



BlackHole、Cool Exploit、Sweet Orangeなど、商用グレードのエクスプロイトキットの出現により、攻撃ウェブサイトを訪問してから数秒以内にユーザコンピュータのスキャンおよびエクスプロイトプロセスを自動化することが可能になりました。
これにより、サイバー犯罪者が新たな被害者にマルウェアを感染させるために必要な技術的専門知識のレベルが大幅に下がっています。
エクスプロイトキットによって、脆弱性の悪用がニッチ的活動から一般的な攻撃へと変貌しました。エクスプロイト型の方法で配布されたマルウェアの数が増えたことをきっかけに、マルウェアがコンピュータに侵入する前にインストール済プログラムの脆弱性を悪用する試みをブロックできる、オンホストセキュリティソリューション
が求められるようになりました。
バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード