エフセキュアブログ

ボットネット を含む記事

Tinbaの分析:設定データ

分析および投稿:Mikko Suominen

 2年前、Tinbaはマルウェアのシーンに参入した。目下のところ、もっとも一般的なバンキング型トロイの木馬の1つとしてシーンに存在している。Tinbaの機能の中でも、あらかじめ設定が組み込まれている点と高度な暗号化方式を実装している点は注目に値する。これにより運用中の効率が高まり、分析される可能性が抑えられる。

 この記事では設定データについて、特に処理メモリから設定データを展開する方法に焦点を合わせる。当社(と読者のみなさんの一部)が設定データに関心を持つ理由は、Tinbaがどのように動作するか、また標的にしているのは誰か、ということを理解する一助となるためだ。

XOR暗号化のクラック

 Tinbaは、フォームグラビングやWebインジェクションといった機能で知られる。この機能は、侵害されたサイトに知らずに訪れたユーザから、銀行の認証情報を盗むために使われる。システムへ侵入する経路は、大半がスパムメールかエクスプロイトキットだ。

 ダウンロードされた時点でフォームグラビングやWebインジェクションの設定がディスク上に格納され、4バイトのキーによるXOR、続いてRC4、最後にApLibでの圧縮により保護される。XORのキーはTinbaのファイル群があるフォルダ名で、文字列から整数に変換したものだ。設定ファイルが一切ダウンロードされなかった場合、Tinbaは自身のバイナリにある、あらかじめ作成された設定データを使用するという手段に出る。このデータは、XORの暗号化を除き設定ファイルと同じ暗号化が用いられている。

 XORの暗号化は、設定ファイルを特定のマシンと紐づけるためのものだ。マシンとボットネットの特定データとの組み合わせをXORキーとして使用することで、感染したマシンへのアクセス権限を持たない人が設定ファイルの復号を試みると、難題に直面することになる。

設定ファイルの復号

 しかしながら、設定ファイルの復号は不要かもしれない。Tinbaが設定データを隠ぺいする方法が、現在の標準に比べると著しくお粗末だからだ。フォームグラビングのデータおよびWebインジェクションのデータの両方は、完全に復号された状態でWebブラウザのメモリに恒久的に格納される。これは非常にうかつである。他のバンキング型トロイの木馬は設定データを用心しながら保護する傾向にあり、必要なときにのみデータを復号し、もはや不要となれば直ちに復号されたデータをメモリから一掃する。

メモリ割り当てにおけるうっかりミス?

 Tinbaの作者は、物事をさらに簡単にするため、非常に怠惰な方法で設定データのメモリ割り当てをコーディングした。データに必要な量だけメモリを割り当てるのではなく、どんな設定データでも確実に格納できるほど十分に大きなメモリ容量をハードコーディングで割り当てることにしたのだ。その結果、0x1400000バイトという巨大なメモリブロックが、Webブラウザのメモリ空間の中でひどく目立っている。フォームグラビングの設定データはこの領域の先頭に保持されるが、Webインジェクションのデータはオフセットが0xa00000の位置に配置される。両方のデータ塊は設定データのサイズから始まる。

 一例に、サンプル「9c81cc2206c3fe742522bee0009a7864529652dd」が受け取ったWebインジェクションのデータの1エントリを挙げる。

Tinda web injection data
ポーランドの金融機関が標的であることをこのサンプルは示している

Zeusのフォーマットとの類似性

 Tinbaの設定データが不気味なほどZeusにそっくりに見えるのだとすれば、それはZeusや他の多数のマルウェアファミリーが使用しているのと同一のフォーマットをTinbaが採用しているからだ。このフォーマットは、どうもクライムウェア業界のちょっとした標準となりつつあるようだ。同一の悪意あるWebインジェクションを異なるボットネットで使用することが可能になるためだ。

 別々のマルウェアの作者が、自分のマルウェアの設定データに同一のフォーマットを使用するようになった経緯を解明するのは興味がそそられる。Webインジェクションのデータはボットネットの保有者が開発したのではなく、サードパーティーから購入したものだと仮定する。もしそうなら、特定の設定のフォーマットが一致するには、Webインジェクションの開発者らと、マルウェアの開発者らの間で連携することが求められる。数年前、Zeusは大きな市場シェアを握っていたので、おそらくこれは単に組織的に行われたのだ。顧客がWebインジェクションをより簡単に達成することを目的に、他の作者たちが同一のフォーマットを使用することは道理にかなっていた。


 Mikko Suominenは当社のレメディエーションチームのシニアアナリストである。

 詳細はJean-Ian Boutinによる論文「The Evolution Of Webinjects」(VB2014)を参照のこと。

ボットネットテイクダウン狂想曲

オンラインバンキングを標的としたボットネットDridexが、テイクダウン後に衰えを見せるどころか、さらに勢いを増しているということで話題(Dridexの解体, Botnets spreading Dridex still active)になっています。

テイクダウンの是非については昔から賛否両論ありまして、割れ窓理論とよく似た議論が交わされています。
端的に言えば、「どうせすぐ復活するから、やる意味ないよ」という批判をよく耳にするのです。

参考までに、最近のボットネットテイクダウン作戦を対象に、VirusTotalにアップロードされているマルウェア検体数が、テイクダウン実施前後でどう変化しているかを調べてみました。

横軸は検体がコンパイルされた日付(つまり検体が作成されたであろう日付)、縦軸はアップロードされている検体数で、グラフごとに目盛りが異なるので注意。コンパイル日時は偽装可能なので、あくまで参考情報として。

Ramnit

公表されている感染端末数:320万台
テイクダウン実施時期:2015年2月
主導した機関:ユーロポール
参考情報:自身をブロックするウイルス
Takedown_Ramnit
Simda

公表されている感染端末数:77万台
テイクダウン実施時期:2015年4月
主導した機関:インターポール
参考情報:Simdaボットを射る3本の矢
Takedown_Simda
Beebone

公表されている感染端末数:10万台
テイクダウン実施時期:2015年4月
主導した機関:ユーロポール
Takedown_Beebone
Vawtrak

公表されている感染端末数:8万2000台
テイクダウン実施時期:2015年4月
主導した機関:警視庁

Takedown_Vawtrak
Dridex

公表されている感染端末数:非公開
テイクダウン実施時期:2015年10月
主導した機関:FBI、NCA
参考情報:Dridexの解体
Takedown_Dridex

Simdaのようにテイクダウンを境として活動が沈静化した事例もあれば、DridexやRamnitのように逆に活発化してしまった事例もあるという結果でした。

上述の割れ窓理論に関する否定的な主張として、「社会学は割れ窓理論に優しくはない。」という文章がWikipediaには載っていますが、「社会学はボットネットテイクダウンに優しくはない。」とも言えるようです。

それでも私個人的にはボットネットのテイクダウンに賛成派だったりします。賛成というのは、テイクダウンをやれば万事解決という意味ではなく、テイクダウンもボットネット一掃作戦の一部として有効だという意味です。実際、テイクダウンをきっかけとして捜査が進展することはよくあります。

昨年スマートテレビを購入した消費者の割合は、デスクトップPC購入者の割合に匹敵

エフセキュアが今回実施した調査では、過去一年以内にスマートテレビを購入したと答えた回答者が23% に上り、デスクトップPCを購入したと答えた人の割合とほぼ同一でした。8,800人の消費者を対象に行われた今回の調査からは、「モノのインターネット(IoT)」が消費者の間で徐々に受け入れられつつある一方で、プライバシーやセキュリティ対策がきちんと取られているか、不安を抱く人の割合が非常に高いことがうかがわれます*。

本調査から、スマートテレビ以外のIoT製品カテゴリであるウェアラブル機器やネット家電についても普及が進みつつあることが明らかになっています。その一方で、今回調査の対象となった消費者の70%がこれらの機器のハッカー被害が心配であると答え、69%がこれらの機器を通じた第三者による追跡を懸念していると回答しました。

エフセキュアの戦略的脅威研究担当ディレクター、ミカ・スタルバーグは、普及が進んでいるIoT機器のタイプを考慮すると、上記に挙げた消費者の懸念は当然であると考え、次のように述べています。「モノのインターネット(IoT)の普及は、娯楽の次に、生活の質を高める製品に特化しています。監視カメラやスマートキー、スマートカーのような製品はすべて物理的なセキュリティに重要な役割を果たします。これらIoT機器の普及が進めばオンライン上の脅威がより身近なものになるわけですから、この点に関して消費者が懸念を抱くのは当然のことなのです」

さらにスタルバーグは、家庭用ルーターがハッキング被害に遭うケースがここ数年増加している点を指摘し、この傾向はセキュリティ対策の不十分な機器が犯罪者のビジネスチャンスとして狙われていることを示すものだと述べています。「IoT機器への攻撃は今後高まることが予想されますが、その原因はIoT機器のセキュリティ対策が充分でないためです。家庭用ルーターへのハッカー攻撃は、IoT機器が危険にさらされる可能性を顕著に示しています。ハッカーが家庭用ルーターを悪用してネットワークトラフィックを監視し操作する恐れがあります。『Lizard Squad(リザードスクワッド)』のようなハッカー集団はすでに脆弱性を悪用して、市場性の高いボットネットサービスを生み出しているのです」

IoT機器の普及が進むにつれて高まるセキュリティリスク

今回の調査結果をエフセキュアが昨年行った同様の調査結果と比較したところ、セキュリティやプライバシーに対する消費者の懸念にもかかわらず、モノのインターネットの普及が進んでいることが明らかになりました**。 より多くの消費者がより広範な製品カテゴリからIoT機器を購入しており、IoT機器の市場が順調に成長すると見込んだ、市場調査会社の予測を裏付けています*** 。最も成長が著しい製品カテゴリは次の通りです。

  • フィットネス・生活用追跡機器の普及が3%から5%に増加
  • インターネット接続型の家庭用モニタリング機器の普及が1%から4%に増加
  • TVストリーミング機器の普及が4%から6%に増加

スタルバーグは、これら製品カテゴリの大半が比較的新しく、従来IT製品の製造を手掛けてこなかったメーカーによる機器が多数を占めている点を指摘しています。新しいタイプのIoT機器が加わることでネットワークの規模が拡大し、プライバシーやセキュリティに関する従来からの問題が深刻化する可能性があります。

「メーカーは使いやすさにばかり力を入れ市場投入を急ぐあまりに、限られた機能しか持たないIoT機器が大量に出回っていますが、これらのIoT機器はセキュリティ上の脆弱性を抱えています。セキュリティ問題に関してIoT機器と従来のIT製品とで大きな違いは見られませんが、IoT機器がネットワークに加わることでネットワーク規模が拡大し、セキュリティに関する従来からの問題が深刻化する恐れがあります。対応不可能な状況になる前に、消費者とメーカーの双方が管理可能なネットワークの確保について考えるべきです」

*出典:「エフセキュア消費者価値観調査 2015」 本調査は11カ国(米国、英国、フランス、ドイツ、ブラジル、アルゼンチン、コロンビア、メキシコ、イタリア、スウェーデン、インド)で実施されたオンライン調査です。調査は1カ国につき800人、合計8,800人の、各年代、収入層の男女がバランスよく含まれた回答者を対象に実施されました。 調査データは2015年7月にToluna Analytics社が収集しました。 なお、2014年の調査データとの比較は、2014年と2015年の両方で調査を実施した国に限定して行っています。

**出典:「エフセキュア消費者価値観調査 2014」 本調査は6カ国(米国、英国、フランス、ドイツ、ブラジル、フィリピン)で実施されたオンライン調査です。調査は1カ国につき 800人、合計4,800人の、各年代、収入層の男女がバランスよく含まれた回答者を対象に実施されました。調査はInformed Intuitions社とエフセキュアが共同作成し、調査データは2014年7月にToluna Analytics社が収集しました。

***出典:https://www.idc.com/getdoc.jsp?containerId=prUS25633215

詳細情報:  
F-Secure Internet of Things https://iot.f-secure.com/

Dridexの解体

 先日、英国NCA(National Crime Agency、国家犯罪対策庁)はFBIおよびアメリカ合衆国司法省とともに、Bugat、Cridex、Dridexの作者を告訴した。Andrey Ghinkulは2015年8月28日にキプロスで逮捕された。現在、米国は身柄の引き渡しを求めている。報じられているところでは、Dridexは世界各国で金融機関や金融業者に数百万ドルの損失を招いた。

 Dridexは、正規のファイルに見せかけた、悪意あるマクロコードが埋め込まれたMicrosoft Wordドキュメントを通じて伝播することが分かっている。こうしたマクロはいずれ、C&Cサーバや侵害されたWebサイトから実行ファイルをダウンロードすることになる。エフセキュアでは、Officeドキュメントに特化してファイル内の悪意あるマクロを探す、一般的な検知を行っている(Trojan:W97M/MaliciousMacro.GEN)。

 当局がDridexボットネットを駆除するにつれ、当社のバックエンドの統計情報に悪意のあるマクロの発見が感知され、急増が見られた。

 当社の顧客は、Hydra(スキャンエンジン)およびDeepGuard(ビヘイビアベース)の両技術にて守られている。

Virus and spyware history Trojan:W97M/MaliciousMacro.GEN
Trojan:W97M/MaliciousMacro.GENの検知

F-Secure Internet Security, Harmful file removed
害のあるファイルが削除された

 一般的なシグニチャによって悪意あるマクロの検知を行っているほか、ビヘイビアエンジンであるDeepGuardでもブロックする。1階層より2階層の保護のほうが優れている。

F-Secure Internet Security, Application blocked
不正なビヘイビアのためにブロックされたアプリケーション

 Wordドキュメントが実行ファイルをドロップするって?そうだ、それに良いことなんか1つもない。

 Q:こうしたDridexの動きは、すべて当局がボットネットを解体したことと関係があるのか?
 A:当社では分からない。

F-Secure SAFE、Windows 10をサポート、さらにNetwork Checkerを提供

エフセキュアは、人気の高いセキュリティソフトウェアF-Secure SAFEの最新バージョンをリリースしました。この最新バージョンはWindows 10搭載デバイスをサポートします。これにより、今夏リリース予定の期待の大きいWindows 10オペレーティングシステムにデバイスをアップグレードした後も引き続き、エフセキュアが提供する最高のプロテクションのメリットを享受することができます。最新バージョンではさらに、Network Checkerと呼ばれる新しいネットワークレイヤセキュリティツールも併せて提供しています。Network CheckerはF-Secure SAFEをインストールしたWindows PCでご利用いただけます。

エフセキュアのコンシューマ・セキュリティ担当エグゼクティブ・バイスプレジデントであるサム・コンティネンは次のように述べています。「F-Secure SAFEがWindows 10をサポートすることを発表でき、とてもうれしく思っています。F-Secure SAFEは、オンライン上の脅威に対する、使いやすい包括的なセキュリティソリューションを提供します。多くの方々がご自身のデバイスやデジタルライフ、そしてご家族を守る上で、F-Secure SAFEに信頼を寄せてくださっています。エフセキュアはこの信頼を裏切ることなく、Windows 10にアップグレードした後も引き続き、これまでと同様のプロテクションを提供していきます」

マイクロソフトはWindows 10のリリースを7月29日に予定しており、現在Windows 7またはWindows 8.1をインストールしているPCに無償でアップグレードを提供すると発表しています*。

PCユーザ向けにNetwork Checkerを提供

F-Secure SAFEの最新バージョンでは、PCユーザ向けにエフセキュアの最新かつ革新的なネットワークレイヤセキュリティであるNetwork Checkerも提供しています。Network Checkerはインターネットに接続する際に使用しているネットワークの設定を検証し、設定が攻撃に対し無防備な状態に変更されることを防ぎます。高度なプロテクションレイヤを追加し、ご家庭でも、小さなカフェでWi-Fiホットスポットを利用するときでも、人々を安全に守ります。

デバイスがより「スマート」になっているため、ルータのハッキングといったテクニックが一般的になりつつあります。最近の調査では、ウイルスに感染している何万台ものルータがボットネットの作成に使われていることが明らかとなっています。ボットネットは大規模なDDoS(分散型サービス拒否)攻撃に不可欠な構成要素です**。 エフセキュア セキュリティ研究所によれば、設定が変更されていたことが判明した家庭用またはオフィス用ルータは2014年だけでも30万台を超えています***。

エフセキュアのシニアリサーチャーであるデビッド・ヘンティネンは、ルータやスマートデバイスは潜在的なリスクとして認識されていないため、攻撃者にとってますます魅力的になっていると言います。「ルータは放っておかれがちです。一度設定した後は部屋の隅に置かれ、二度と顧みられません。人々はファームウェアのアップデートのことなどまるで考えておらず、デフォルトのパスワードさえ変えていないこともあります。このため、ルータは攻撃者の標的となりやすく、攻撃者はルータをハイジャックすることにより、そこを通過するすべてのトラフィックを操作できるようになります」

Network Checkerはバックグラウンドで稼働し、所定の間隔で、または設定の変更を検知したときにネットワークをチェックします。潜在的なセキュリティの問題を検知した場合にはユーザに通知し、トラブルシューティングまたは問題の修復方法を提示します。Network CheckerはF-Secure SAFEをインストールしたWindows PCで利用することができます。Windows PC以外のデバイスをお使いの方には、オンデマンド型のF-Secure Router Checkerがウェブベースで同様の機能を提供します。

F-Secure SAFE、すべてのデバイスでクラウドセキュリティを実現

最新バージョンのF-Secure SAFEではMac版、iOS版、Android版を対象にいくつかの改善も行い、すべてのデバイスでクラウドセキュリティを実現しました。改善点は以下のとおりです。
  • Mac版にクラウドベースのレピュテーションスキャニングを追加。リアルタイムでファイルおよびウェブサイトのレピュテーションをチェックします。
  • Android版に次世代バージョンのエフセキュアのクラウドベースのマルウェアスキャニングを追加。クライアントベースとクラウドベースのアンチウイルス・プロテクションを組み合わせています。
  • Android版およびiOS版のペアレンタルコントロールを設計し直し、ユーザビリティを改善。

F-Secure SAFEはセキュリティとオンラインプライバシーの侵害から人々を守るオールインワンのセキュリティソリューションを提供します。エフセキュアの受賞歴のあるテクノロジーが組み込まれ、Windows PC、Mac、Android、iOS、Windows Phoneを搭載したデバイスにインストールすることができます。

*出典:http://news.microsoft.com/2015/06/01/windows-10-available-as-a-free-upgrade-on-july-29/
**出典:http://news.softpedia.com/news/DDoS-Botnet-Relies-on-Thousands-of-Insecure-Routers-in-109-Countries-480940.shtml
***出典:https://www.f-secure.com/documents/996508/1030743/Threat_Report_H1_2014.pdf

詳細情報:  
F-Secure SAFE  https://www.f-secure.com/ja_JP/web/home_jp/safe

Simdaボットを射る3本の矢

インターポール、マイクロソフト、カスペルスキー、トレンドマイクロと協力しSimdaボットネットのテイクダウンを行いました。
カスペルスキーから出向している同僚から報告があるように、このマルウェアは多くの解析妨害機能があるため、アンチウイルスベンダーのサンドボックスではうまく検知することができていませんでした。

そこで、サイバーディフェンス研究所が手動で解析を実施し、その解析結果を元にしたアンパッカーと暗号化された通信、設定ファイルの復号ツールをマイクロソフトやアンチウイルスベンダーに提供し、全容の解明に協力しました。

また、すでに感染しているユーザへの対応として、次の3つ(3本の矢)を用意しました。
感染が疑われる場合には、次のように表示されます。
Simda Botnet DetectorSimda Check

各矢の守備範囲は次の表のようになっています。

No. 感染時期、感染環境など IP Scanner
アンチウイルスソフト 自動 hosts check 手動 hosts check
1
自己消滅前(※)
2
自己消滅後 ×
3
テイクダウン前のマルウェア活動 ×
4
テイクダウン後のマルウェア活動
5
亜種への対応
6
マルウェア感染活動前 × × ×
7
動的IPアドレス環境での感染 ×
8
プライベートIPアドレス環境での感染 ×
※ 様々な条件により、マルウェア検体自身が削除される場合とされない場合がある

この中で感染者数が多いのが2番と3番だと思われます。
個人的にオススメする一番手っ取り早くて確実な確認方法はhostsファイルの手動確認です。

GameOver Zeus:コンピュータには望ましくないタイプのゲーム

『Team Fortress 2』と『Doom』は空前の人気を誇るPC用ゲームですが、GameOver Zeusはオンラインで購入できるゲームでもなければ、みなさんが進んでコンピュータにダウンロードするようなゲームでもありません。
 
GameOver Zeusとは?
 
以前、インターネットバンキングを狙う「トロイの木馬」について述べましたが、2012年に最初の感染が確認されたGameOver Zeus、すなわち「トロイの木馬」型のGOZほど、ユーザにとって有害なものはありません。GameOver Zeusは、感染したコンピュータからインターネットバンキングの認証情報を盗み出すように設計されており、海外にある犯罪者の口座へ電子送金します。伝えられるところによると、このプログラムはロシアのハッカー、エフゲニー・ボガチェフが作成したもので、世界中のコンピュータに植えつけられました。そして感染したコンピュータのネットワークすなわちボットを構築し、彼の犯罪組織がどこからでも制御できるようにしたのです。
 
GOZは主にスパムメールやフィッシングメールを通じて拡散します。これまで、人々から何億ドルも騙し取ったとみられ、さらに被害は拡大する見込みです。
 
話はそれだけにとどまりません。GameOver Zeusは異種のトロイの木馬を取り込むために、ハッカーが書き換えることもできるのです。その1つがCryptoLockerと呼ばれるランサムウェアで、ユーザがハッカーに身代金を支払うまで、すべてのファイルを暗号化して重要なファイルのほとんどを利用不能にする、大変な被害をもたらすマルウェアです。
 
2014年6月、FBI、欧州刑事警察機構(Europol)、英国国家犯罪対策庁(NCA)は、世界中の様々なセキュリティ企業や学術研究者らと緊密に連携して、「Operation Tovar」というプログラムのもと、対策に取り組んでいることを明らかにしました。この取り組みは、トロイの木馬を拡散しコンピュータに感染させるシステムを一時的に破壊し、その間、他のコンピュータが感染しないようにするものです。しかし、すでに感染したコンピュータには依然としてリスクが残っており、危険にさらされたままです。
 
次に起こる事は何でしょうか。
 
GameOver Zeusボットネットの破壊は、様々な意味で大きな成功となりましたが、これで終わったわけではありません。当社のセキュリティ・アドバイザーを務めるショーン・サリバンは、この一時的な破壊は完全に撲滅したというわけではないため、危険が実際には取り払われていないと懸念を表しています。
 
「ボガチェフが逮捕されていない現在、GameOver Zeusはいまだに大きな脅威で、さらに危険なものへと進化していくでしょう。ハッカーは、トロイの木馬の新しいバージョンのプログラムを簡単に作成して、身代金が支払われなかったり、当局が介入を試みたりした場合に、コンピュータ上のすべてのファイルを破壊するような『自己破壊』コマンドを起動させることができるのです。」
 
私たちがデジタルフリーダムを守るためにできることは何でしょうか。
  • 悪意のあるスパムメールやフィッシングを警戒 ― 特に何か要求した場合を除いて、Eメールの添付ファイルを決して開かない。
  • Eメールの添付ファイルを注意深く確認し、自動的に実行されるようなファイル(一般的にはファイル名の終わりが「.exe」)は、決して開かない。
  • インターネット セキュリティ ソリューションの環境を整え、常に最新の状態に維持する。
  • Windowsのオペレーティングシステムとインターネットブラウザのプラグインを常に最新版に維持する。
  • すべての個人用ファイルを定期的にバックアップする。
  • トロイの木馬GameOver Zeusに感染していないか確認するためにコンピュータを必ずチェックする。
 
この強力なトロイの木馬の仕組みや拡散方法の詳細については、この動画をご覧下さい。




>>原文へのリンク

GameOver Zeusが戻ってきた

この5月、GameOver Zeusのボットネットが、司法当局に摘発された最大のボットネットとして、歴史に名を刻んで終了した。
しかし残念ながら戻ってきてしまった。

BankInfo SecurityのMathew J.Schwartz氏はこのように説明する。

FBI、ヨーロッパ、そして英国国家犯罪対策庁が 'Operation Tovar'を開始して、GameOver Zeusを拡散するために使用されていたボットネットを破壊してからおよそ3ヶ月、このマルウェアは世界的に息を吹き返しつつある。

GameOver Zeusは、感染したPCから銀行口座や個人情報を盗むために設計された「トロイの木馬」だ。5月に司法当局が摘発した時点で、FBIは世界で50万から100万台のPCが感染しており、そのうちの4分の1が米国で、1億ドル以上が詐取されたと推計している。

エフセキュアのセキュリティ・アドバイザー、ショーン・サリバンは「GameOver Zeusの新しい亜種が溢れているわけではない」と述べている。エフセキュア・ラボでは最近の脅威を観察し、その起源について結論つけている。



GameOver Zeusに詳しい我々のアナリストが、最新のサンプルを分析した。彼の評決:明らかにSlavikの仕業だ。

どう思われるだろうか? 弊社のオンライン・スキャナーは新旧のGameOver Zeusを検出する。今、無償でPCをチェックいただきたい

では、

ジェイスン

SNSとデジタル通貨を悪用したマルウェア ’Lecpetex’

Facebook、Twitter、Skypeなどのソーシャル・ネットワーク・プラットフォームを悪用したマルウェアは目新しいものではありません。より深刻なのは、マルウェアがワームとして自らを拡散し、感染したユーザのマシンからのデータ収集に重点を置くようになったことです。一方、ビットコインマイニングは、ユーザが自分のマシンで現金を生み出す方法として人気になっており、また犯罪者にもしばしば悪用されるようになっています。このため、ソーシャルネットワーキングとデジタル通貨という2つの傾向を結びつけたマルウェアが出現することは、避けられない事態でした。感染したマシンはボットネットとして悪用されます。エフセキュアではFacebookとの共同による取り組みで発見したマルウェアLecpetexについて、注意を喚起するホワイトペーパーをリリースしました。

Lecpetexは、ソーシャルエンジニアリングの手法で拡散されます。これは、Facebookのメッセンジャーサービス経由で送信されるメッセージに添付されたZIPファイル形式の実行可能プログラムとして配布されるということです。ユーザが添付ファイルをクリックしやすくするよう、メッセージには「lol」、「hahaha」、「OMG」など、古典的な仕掛けのテキストが使用されます。

メッセージに添付されたZIPファイルをクリックすると、Java実行可能ファイル(JAR)プログラムが解凍されます。JARファイルを起動すると、事前定義されたDropboxファイル共有リンクからfbgen.datという名前のダイナミックリンクライブラリ(DLL)ファイルを探し、ダウンロードします。このプロセスの間、何らかのアクションが発生したことをユーザに示す兆候はありません。JARファイルをクリックした後、すべてがバックグラウンドにおいてサイレントモードで実行されます。



ファイルが見つかりダウンロードが完了すると、JARファイルは実行中にダイアログボックスが表示されないよう「/s」キーを使用してDLLのサイレント登録を指定し、「regsvr32.exe」を実行します。マルウェアはその起動場所を隠すため、レジストリエディタで無視される255文字を超えるキー名を使って偽のレジストリエントリを追加します。次にDLLは、explorer.exeインスタンスに、ビットコインマイニングのアクティビティを書き込ます。

Lecpetexは、ユーザのファイルの内容に対する好奇心を悪用して、マルウェア自体をダウンロードおよびインストールさせる、古典的なソーシャルエンジニアリング攻撃手法を使用して拡散されます。このため、ユーザ行動の標準的な予防措置が効果的です。

  • 知らない相手から送信された添付ファイルはクリックしない。
  • メッセージは一見すると友人から送付されたように見えるが、その内容が普段と違うように感じる場合、添付ファイルをクリックしない。他の手段を使ってその友人に連絡を取り、アカウントが侵害されている可能性があることを伝える。
  • 添付ファイルをクリックすると実行可能ファイルが表示される場合、これを実行する前に、信頼できるアンチウイルスプログラムを使用してスキャンする。

エフセキュアのセキュリティ製品は、以下を検出することでマルウェアのさまざまなコンポーネントを特定します。

  • Trojan-Downloader:Java/Lecpetex.C
  • Trojan.Win32/Lecpetex.A!Mem

ホワイトペーパーの詳細はこちらでご覧いただけます(英語):
http://www.f-secure.com/static/doc/labs_global/Whitepapers/lecpetex_whitepaper.pdf

サイバー戦争をめぐる3つの疑問

エフセキュアでセキュリティアドバイザーを務めるショーン・サリバンが最近私にこう言いました。「私たちにはサイバー戦争をイメージする想像力が足りない。この戦争は爆発的なものではなく、クライムウェアのビジネスが枯渇した誰かが新しいビジネスを探している、といったものではないだろうか」
 
この1週間、エフセキュアのセキュリティ研究所は、エネルギー業界をねらうハッキンググループ「Energetic Bear」やHavexからの攻撃に目を光らせてきました。今はウクライナやポーランド、トルコ、ロシアを標的とするCosmicDukeに注目しています。
 
こうした攻撃の最終目的はスパイ活動、つまり買い手(もしかすると、どこかの政府)のための情報収集にあるようです。しかし、その手法は、イランの核戦力を低下させるために開発されたStuxnetのように多大な工数を投じた緻密なものではありません。
 
ショーンはこう言います。「これらはもっともらしい反証に頼っており、利用しているリソースはサイバー攻撃専用ではないようだ。これは、従来のクライムウェアで用いられるモジュール手法に匹敵する」
 
エフセキュアのシニアリサーチャーで、以前にCosmicDukeの分析についての記事を投稿したことがあるティモ・ヒルボネンはこう話します。「一つの要素だけ見れば、まるでクライムウェアのようだが、違う角度から見れば、『こんな標的をねらったものは今まで見たことがない』と言うだろうね」
 
「サイバー戦争に関わるものは何でもピカピカで真新しい、というのがこれまでの常識だった」とショーンは言います。けれども、今回の攻撃は「セミプロ」の仕事のようです。
 
こうした攻撃をきっかけに、ショーンは以下の3つの疑問について考えています。
 
国が支援しているというのはどういう意味か?
 
ショーンは言います。「サイバー戦争は現実の縮図だ。トップダウンで機能する大規模なサイバー情報インフラを整備している国もあれば、既存のクライムウェアに基づく既存のテクノロジーを取り入れて、草の根レベルの方法をとっているような国もある」
 
国家中心のキャンペーンでは、必ずしも国の支援を受けていないマルウェアを利用しているのではないか、とショーンは考えています。「黒い覆面をして記章を外した部隊を半島に送り込むような国は、同じようなことをオンラインでもやるかもしれない」
 
機会を逃さない実際的な政府は、人々にお金を払って、国際スパイ用のテクノロジーを取り入れているかもしれません。
 
こうした攻撃の最終目的は孫子が『兵法』で述べた名言、「敵を知れ」に通じるのではないかとショーンは言います。

情報で武装した国は、ソフトパワーを駆使して同盟国同士を対立させ、経済制裁のような報復を制止することができます。
 
APT(Advanced Persistent Threat)攻撃とは何か?

 
APT攻撃はStuxnetほど複雑なやり方ではありません。複雑である必要がないのです。
 
CosmicDuke(2001年から存在しているマルウェアの変種)は標的をだまして、エクスプロイトを含むPDFファイル、もしくは文書ファイルや画像ファイルのようなファイル名を付けたWindowsの実行ファイルを開かせ、感染させる仕組みです。
 
標的がこうした悪質なファイルを開くと、CosmicDukeがシステムに侵入し、キーロガーやクリップボードスチーラー、スクリーンキャプチャ、パスワードスチーラーでさまざまなチャットやメール、Webブラウザの情報を収集し始めます。またCosmicDukeには、システム上のファイル情報を収集し、暗号化証明書やその秘密鍵をエクスポートする機能もあります。収集した情報はFTPでリモートサーバに送信されます。CosmicDukeはシステムの情報を盗むだけでなく、攻撃者が他のマルウェアをシステム上にダウンロードし、実行できるようにします。ごくありふれたものです。
 
クライムウェアとの闘いは犯罪者をサイバースパイに駆り立てているのでしょうか?サイバー犯罪との闘いは逆効果なのでしょうか?
 
「なかには、政府のため、自分のために働いている奴らがいるのかもしれない」とショーンは言います。
 
サイバー犯罪の国際戦争で勝利の波に乗れば、犯罪者たちを支援する新たな買い手が現れるかもしれません。
 
ショーンは続けます。「このような人材はおのずと育つ。いまや、国外の人材を活用する政府もある。警察はクライムウェアを追っているが、クライムウェアはなくならない。これは金になるビジネスで、金を求める人材は後を絶たない」
 
このような攻撃はあらゆる人を標的にしていると、ショーンは確信しています。
 
「システム管理者を追うのはNSA(国家安全保障局)だけではなく、重要なシステムに何らかのアクセス権限を持つ人なら、誰もが標的になりえる。落ち着いて、守りを固めなければならない」
 
予防はどんなときも最善策です。企業各社はこのことを認識してくれるだろう、とショーンは期待しています。
 
「ITマネージャの皆さん、必要なセキュリティ予算を要求し、勝ち取りましょう。コスト優先のセキュリティ対策が間違った経営判断であるという証拠が次々に明らかになっているのです」
 
各国の政府が日和見的なマルウェア作成者と手を組めば、リスクは急激に増大するでしょう。
 
ショーンは次のように問いかけています。「現在はクライムウェアのボットネット、将来は国家安全保障が悪夢?こんな奴らが脱獄したらどうなるでしょう?彼らはこんな人材を放っておかないでしょう」
 
Sandra

>>原文へのリンク

Trojan:W32/Lecpetex:Facebookメッセージで拡散するBitcoinマイナー

 今年の3月初旬、Facebookのマルウェアを除去するための社内の取り組みの一環として、さまざまな脅威を調査した、その際、メッセージに添付されたzipファイルを介して拡散する、興味深いマルウェアに行き当った。

 メッセージそのものはソーシャルエンジニアリングの古典的な仕掛けとなっており、ユーザが添付ファイル内の実行ファイルをインストールするように仕向けるものだ。これは結局のところBitcoinのマイナーで、当社ではTrojan:W32/Lecpetexと識別する。

 当社のLecpetexのホワイトペーパーには、興味深い分析結果がさらに掲載されている。

lecpetex_cover (66k image)

 フェイスブック自身によるLecpetexに関する調査は、ボットネットの停止作戦に結び付いた。同社による停止させるための取り組みや、並行して行った当該マルウェアの分析の結果は、ここから入手できる。

 Post by — Mangesh

 フェイスブックのボットネット停止に関する投稿について詳細とリンクを追記した。

Necurs - 有償のルートキット

 Necursとは、マルウェアの検知と除去の試みを妨害するためのカーネルモードドライバで、現時点で最も有名なものだ。GOZ(Gameover Zeus)で使われている。すでにPeter Ferrieによる記事で、Necursドライバの技術的な詳細は網羅的に取り上げられているが、我々は分析中にある興味深い点に気付いた。Nucursは「売り出し中のクライムウェア」モジュールとして段階的に取り込まれているのだ。

 我々がNecursドライバの最古のバージョンを見たのは2011年5月で、スタンドアロン型のマルウェアとしてだった。2012年初頭に、あるトロイの木馬型のダウンローダによってドロップされるのを観測した時点までは、他のマルウェアとの関連はなかった。この時はユーザモードのコンポーネントでしかなかったが、ドライバとしてNecursと呼ばれるようになった。

 GOZに当該ドライバが同梱されているのを目にしたのは、2014年の2月に過ぎない。これで著しく注目度が高まった。GOZボットネットの感染端末は何十万に達するものと推定されており、主にオンラインバンキングによる窃盗に用いられている。

 GOZはNecursが組み込まれる前は、関連するドライバ無しで動作していた。米FBI(Federal Bureau of Investigations)が遮断作戦を開始する約2か月半前に、このボットネットにNecursが加えられたのはかなり好奇心をそそる。

 Necursドライバの設計で興味深いのは、サードパーティが利用する際、作者による修正が一切必要ないところだ。Necursドライバの生成とインストールに使われているドロッパーのコードは、Necursのトロイの木馬型のダウンローダとGOZの双方で同じものだ。つまり作者は、ドライバを利用可能にするために必要なものをすべて提供しているのだ。

 ドロッパーのコードはシェルコードの様式で記述されていてそのまま実行可能であり、このドライバを使ったマルウェアが最終的にどんなものであれ、簡単にソースコードに含めることができるようになっている。

 Necursの顧客にソースコードを渡す必要はなく、単にサービスキーの値を適切に設定するだけで、任意の実行ファイルを保護するようにドライバを簡単に設定できる。保護すべきファイルの名称は、ドライバのサービスキーDisplayNameの値から取得される。

 実際のファミリーが何であれ、ユーザモードのコンポーネントからドライバへ命令を与えられるようにする制御用インターフェイスもNecursに組み込まれている。制御はIRP_MJ_DEVICE_CONTROLというリクエストで実行される。これはDeviceIoControlというユーザモードのAPIを通じて送信できる。

 ユーザモードのコンポーネントが最初に送信しなければならない制御コードは0x220000である。Necursドライバはこれを受信すると、ドライバを制御できるプロセスとして、リクエストを送付するプロセスのハンドルを保存する。このコマンドはブートアップごとに1度しか受け付けない。

 制御プロセスとして保存されるには、当該リクエスト用のIRP.AssociatedIrp.SystemBufferが12バイト長で、なおかつ以下の2つのチェックを通る必要がある。

   •  first_dword ^ 0xdeadc0de == second_dword
   •  first_dword ^ third_dword == リクエストを送信したプロセスのpid

 さらにチェックがあり、制御コードを送信するプロセスの名称はNecursのサービスキーのDisplayNameフィールドと同一でなければならない。これにより、Necursが保護するファイル名に対してアクセスしようとコマンドを送信する、望まぬプロセスを回避している。

 Necursは以下を含め、合計15の別々のIoControlCodeをリッスンする。

   •  0x220000 Necursマスターとしてプロセスを登録
   •  0x22000c Necursドライバのパスを取得
   •  0x220010 Necursのサービスキーの名称を取得
   •  0x220018 Necursドライバを更新(ドライバファイルの中身が、IRP.AssociatedIrp.SystemBuffer内のデータに置き換えられる)
   •  0x22001c Necursドライバをアンイストール
   •  0x220028 pidによりプロセスを終了
   •  0x22002c 名前によりプロセスを終了

 各コマンドを呼ぶコードは、ドライバのインストールも行うドロッパーのコード内に含まれている。

Necurs

 こういった特徴は本質的に、Necursドライバを再販およびサードパーティによる使用にうまく適合させている。これはGOZのトロイの木馬で用いられていることから明白である。ボットネットを遮断する現在の試みは、Necursの最大の「顧客」の運営の妨げになっているようだが、少なくともしばらくの間だけだろう。

 当社はNecursドライバのバリアントをRootkit.Necursとして検知する。

 —————

 Post by — Mikko S

GameOver ZeuS用のワンクリックテストサイトを構築

 本日、あなたのコンピュータがGOZ(GameOver ZeuS)に感染しているかを確認する、新たな、そして迅速な方法を当社は発表した。先週、当社を含む業界のパートナーと共に、各国の法執行機関が協力してGOZのボットネットを遮断した。

 GOZは破壊されたわけではなく遮断された、という点を認識するのは非常に重要だ。ボットネットの管理者にとって、近い将来、制御を取り戻すことは技術的に不可能ではない。GOZには100万超台のコンピュータが感染した。時間が最も重要である。

 改善を支援するために本日開始したのが、単にwww.f-secure.com/gameoverzeusを訪れるだけで、あなたのブラウザにGOZへの感染の兆候があるかを確認できるサイトだ。素晴らしい点はソフトウェアを何もインストールする必要がなく、また数秒で終了するところだ。

GOZ detection page

 もっと技術寄りの本ブログ読者なら、どのようにチェックが動作するのか疑問に思っていることだろう。我々はかつてそうしたことを行ったことはないが、ここで詳細について述べるべきだと思う。結局のところ、マルウェア自体にちょっとしたいたずらを仕掛けたのだ。これはいつでもおもしろい。

 GOZは、あるいはもっと言えば他のWindows向けのバンキング型トロイの木馬は、ユーザ名やパスワード、その他の認証情報を盗む目的でブラウザに感染する。Amazon.comに訪れるとしよう。

Amazon login page

 GOZが興味を抱いているサイトに、あなたがログインしようとしていることに気付くと、GOZはブラウザ内部から直接的にあなたの認証情報を盗む。どのようにこれを行うのか?興味のあるアドレスをすべて挙げた設定ファイルを含めているのだ。以下はGOZが追跡しているアドレスのリストの一部だ。

Banks in GOZ config

 お気付きのとおり、当該リストには銀行などの金融機関のアドレスが多数含まれる。GOZは正規表現さえもサポートしており、新たなルールを柔軟に作成できる。正規表現を用いているアドレスは非常に攻撃的になる。

Entries in GOZ config

 「攻撃的」とはどういう意味だ?ええと、たとえば、https://www.f-secure.com/amazon.com/index.htmlというアドレスのサイトを訪れようとする。依然として正規表現がマッチするため、GOZはあなたが本当のAmazonを訪れるところだと考える。つまり我々はこれを用いてGOZのボットに「いたずら」をし、あなたのブラウザが感染しているかどうかをたやすく確認しているのだ。

 それではユーザがAmazon.comを訪れたとき、GOZは実際に何を行っているのだろうか?このマルウェアはブラウザ内部で起動しているので、ログインページに入力しているものを見るだけではなく、Webページをあなたが見る前に改ざんすることもできる。感染したブラウザでユーザがAmazonへ行くと、GOZはページ上に追加的なコンテンツを「挿入」する。以下は、挿入を行う部分のコード片だ。

GOZ code for Amazon

 この余分なコードはログインページに新しいフィールドを追加し、続いてその中身を攻撃者が制御するサーバへと送信する。強調した文字列(LoadInjectScript)は後ほど用いる。

 以上をすべてひっくるめて、我々はどのように当該マルウェアを素早くスキャンできるようにしたのか?

 当社の検知用のページwww.f-secure.com/gameoverzeusは、単に当社のサイト上のページなのだが、「amazon」という文字列を含むアドレスのWebページを読み込む。

iframe on GOZ page

 もし感染していれば、当社のこのページを訪れることで、GOZはあなたがAmazonを訪れると考える。たとえ実際はそうではなくても!続いてGOZは当該Webページに自身のコードを付け加える。我々の「偽の」Amazonページが読み込まれると、「セルフチェック」を行って単純にGOZが加えた変更がページ上にあるかを検索する。上で示した「LoadInjectScript」という文字列を検索するのだ(当社の文字列が見つかるという結果にならないように、分解していることに注意)。

goz_check function

 ページ上に当該文字列が見つかったら、GOZがあなたのブラウザに感染していることが分かる。

 いつもどおり、いくつかの制限はある。GOZがサポートしていないブラウザ(誰かLynx使ってる?あとはネイティブの64ビットブラウザ)を使用している場合、コンピュータは感染しているかもしれないが、ブラウザにはマルウェアの痕跡はない。そのような場合、確認するにはやはり当社の無料のオンライン スキャナを実行することをお勧めする。また、実際に感染しているなら、スキャナを用いて削除する必要がある。

 US-CERTのアラート(TA14-150A)も参照のこと。

 共有すべきリンクはhttp://www.f-secure.com/gameoverzeusまたはhttp://bit.ly/GOZCheckだ。

ゲームオーバー・ゼウス 世界中で23万4,000台の被害

マルウェアのゲームオーバー・ゼウスが蔓延っています。ボットネットによる損害は甚大なものになる可能性があります。感染リスクもなくなったわけではありません。イギリスを拠点とするSkyNewsは、今後2週間以内の差し迫った攻撃について報じました。

フロリダに本拠を構える銀行は、約700万ドルの損失を被りました。ピッツバーグの保険会社はビジネスファイルを暗号化され、推定で7万ドルの損害を被りました。レストランの経営者は、レシピやフランチャイズの情報など、1万以上ものファイルを暗号化されました。これまでボットネットは、ランサムウェアによって3000万ドルを盗み取っています。

US CERTは、ゲームオーバー・ゼウスについて注意を喚起してきました。アメリカは各国と協力し、ゲームオーバー・ゼウスのボットネットとランサムウェアであるCryptolockerへの対策を主導していますが、決して警戒を解かず、自身でセキュリティ管理をするよう呼びかけています。エフセキュアはこの件に関して支援を行ってきた企業の1つです。

ゲームオーバー・ゼウス(GOZ)を使用すると、Cryptolockerなど他のマルウェアをダウンロードしたりインストールしたりすることができます。また、銀行の認証情報を盗み出すことができるので、ターゲットとなっている個人や企業が不法に預金を引き出されてしまうため、ついには財産を失うおそれがあります。(出典:FBI CYD 1603.0514.4.2 EXT)

GOZは現在FBIが制御しており、収集される感染したコンピュータのIPアドレスについては、インターネットサービスプロバイダと共有していくことになります。サービスプロバイダは顧客にウイルスを除去するツールを指示します。またそうしなければなりません。

では皆さんがすべきことは何でしょうか。

・アンチウイルス・ソフトウェアの使用と管理:  アンチウイルス・ソフトウェアはほとんどの既知のウイルスを認識し、これらからコンピュータを保護します。アンチウイルス・ソフトウェアを最新の状態に維持することが重要です。
・パスワードの変更:  元々のパスワードは感染の際に盗まれている可能性があるため、変更する必要があります。
・オペレーティング・システムとアプリケーション・ソフトウェアを最新の状態に維持:  攻撃者が既知の問題や脆弱性を利用できないようにするため、ソフトウェア・パッチをインストールしましょう。エフセキュア ソフトウェア アップデータは自動化されたツールで、企業ネットワーク内にあるソフトウェアの状態を常時監視するのに役立ちます。
・マルウェア対策ツールの使用:  マルウェアを特定し除去する正規のプログラムを使用すれば、感染防止に役立ちます。エフセキュア オンライン スキャナは無料のオンラインツールで、PCに問題を引き起こす可能性のあるウイルスやスパイウェアを除去します。エフセキュア オンライン スキャナは、別のセキュリティソフトがインストールされていても機能します。

従来のウイルス対策は十分ではありません。例えば、2013年4月に報告されたGOZクライムウェアへの感染のうち、80%が以前には見られなかった新種のものでした。これらの事例では、ディープガードがそのファイルの悪意のある挙動を認識し、攻撃を阻止することにより、感染を防ぎました。

GameOver ZeuSが盗んだお金はいくら?

 FBIによる指名手配:Evgeniy Mikhailovich Bogachev。別名「slavik」。

Tovar, Bogachev


 ついに…顔と本名に、悪名高い偽名が結びついた。

 昨日FBIは、よく知られたバンキング型トロイの木馬GOZ(GameOver ZeuS)の運用者に対する、複数の国家による取り組みの成果を公表した

 我々はこれを待っていた。

Tovar, technical assistance provided by

 詳細はGameOver Zeus Botnet Disrupted(GameOver Zeusのボットネットが遮断される)にある。

 本日、我々は(はやる気持ちで)関連ドキュメントを読んだ。そして、GOZがらみの損害額は非常に衝撃的であった。

 以下はGOZの被害者の例だ。

Tovar, GOZ victims

 フロリダの銀行1行で「700万ドル」?えっ。

 また以下は、CryptoLocker(GOZによってドロップされるランサムウェア)の被害者の例だ。

Tovar, CryptoLocker victims

 フロリダのあるレストランでは、レシピが暗号化された?

 それこそ「秘密のソース」だ!

 3万ドルの損害とは、こうしたビジネスにとっては実に大きなコストだ。

 FBIからのこちらの画像によると、2013年9〜12月の間にCryptoLockerは3千万ドルの支払いを得た。

FBI, CryptoLocker Malware

 ではGOZについて挙げると…、これはピアツーピアのボットネットで、「テイクダウン」に対する耐性が高い。警察組織の活動により、現在のところ重要なC&Cインフラはブロックされているが、slavikが副次的な経路を通じて所有権を取り戻すのは時間の問題に過ぎないかもしれない。この間にも、取り戻す努力が行われている。GOZに関係するIPアドレス群は、除去ツールへと向けられている。

 当社の(無料の)オンライン スキャナはUS-CERTのアラート(TA14-150A)に挙げられている。

 当社のメトリックスによれば、実行されたスキャンの数はすでにかなり増加している。

 噂が広まり、運が良ければ、GameOverボットネットは崩壊する。

オンラインプライバシー:皆さんにとっての意味

コロンビアの作家でノーベル文学賞受賞者のガブリエル・ガルシア・マルケス氏はかつて、「すべての人は、公的な生活、私的な生活、そして秘密の生活という3つの生活を送っている」と語りました。

公的な生活、私的な生活、そして秘密の生活。これらが意味することは、特にデジタルの世界では、人によって異なります。ある人は、ペットの猫についてブログに投稿することが自分自身を公にし過ぎていると考えるかもしれません。一方で、日常のあらゆる出来事をビデオでブログに投稿することが当たり前になっている人もいます。

私的な生活という点についてですが、人によっては、お互いにやり取りする従来の電子メールは個人的なコミュニケーションであると思うかもしれません。しかし、技術に詳しい人は、あらゆるコミュニケーションをエンドツーエンドで暗号化し、自分の身元情報を常に匿名にしておきたいと考えるかもしれません。このことは、VPN、匿名化サービスや電子メール暗号化のようなテクノロジーを用いれば可能です。

オンラインで秘密の生活を送るということも、人によって意味が異なってきます。一般的な人であれば、自分の実際の情報を明かしたくないサイトにアクセスする際には、いつもとは違うJohn.Doe@dummy.tldなどの身元不明の電子メールアドレスを使うかもしれません。https://mailinator.com/は、オンデマンドの使い捨ての電子メール受信トレイを使うのに役立つサービスです。その他の人にとっては、Webでの秘密の生活は、闇に包まれた活動を意味するかもしれません。つまり、Silk Roadのような市場の運営といった非合法活動の隠蔽、ボットネットの作成と運営、RATの実行やビットコインマイニング用のマルウェアやキーロガーの作成などといった活動です。

これまでお話ししたように、それぞれの生活の意味は、人によって異なります。知らないことを幸せであると感じる人もいます。こうした人は、自らの安全を保ったり、オンライン上の身元情報や所有物の乗っ取りと悪用を防いだりするためのわずかな手順を踏まないことで、自分のオンライン上の身元情報に対して、どのようなことが起こる可能性があるのか(そして残念なことに、その結果として何が起こるのか)を知りたいとは思いません。

公の生活、私的な生活、そして秘密の生活という概念の一つひとつを、今後、ブログへの投稿で詳しく説明していこうと考えています。そこでは、ネットサーフィンの際に身元情報を保護する方法についてのヒントもお知らせします。それまでの間、この3つの生活が、皆さんにとって、どのような意味をもつのか考えてみてください。


巧妙化するモバイル脅威

エフセキュアの最新版モバイル脅威レポートによると、モバイル脅威の大半が金銭詐取を目的としており、またボットネットやマルウェア開発ツールの存在が確認されるなど、脅威が巧妙化しています。

主目的は金銭詐取

2014年第1四半期にエフセキュアラボが検出した新たなモバイル脅威のファミリーもしくは亜種の88%が、不正なアプリのインストールによって有償のSMSを送信するなどの手段で、金銭的な詐取を目的としていることが判明しました。

モバイルのボットネットの広がり

新しい脅威のファミリーや亜種の19%は、秘かにリモートのC&C(コントロール・アンド・コモンド)サーバヘ接続します。不正なサーバに接続したモバイル・デバイスはボットネットを構成し、C&Cサーバをコントロールする攻撃者によって、不正な行為を実行する踏み台として悪用されます。このような不正な行為には、悪意あるプログラムのインストール、情報の収集、SMSの送付が含まれます。

ツールキットの登場

2014年第1四半期は、モバイル脅威の開発の転換期でもありました。そのひとつとして、モバイル脅威のツールキットDendroidの登場が挙げられます。DendroidはAndroid用のトロイの木馬の開発キットで、技術的なスキルを持たなくてもマルウェアの作成を容易にします。過去、PCプラットフォームの脅威の作成をエクスプロイトキットが容易にし拡散させたように、今後はAndroidを標的にした脅威が益々広がることが懸念されます。

モバイル脅威の最新の詳細、また脅威から身を守るためにできる対策などについては「2014年第1四半期モバイル脅威レポート」を参照してください。

NSAによるIRCボットのハイジャックについて

 ボットネットをハイジャックする。これは倫理にかなったことなのか?違う。

 法執行機関による非常に入念な調整が無い限り、倫理にもとる。それに、そういう場合ならボットネットのシャットダウンを望むだろう。

 ボットネットのハイジャックは望まない。少なくとも…倫理的ならハイジャックはしない。

 しかし、情報機関だったらどうか?

 それならば明らかに、答えは完全にイエスだ。

 最近開示された文書によると、NSAは2007年までに最大で140,000個のボットをハイジャックしてきた。

Quantumbot, Takes control of idle IRC bots

 Quantumbotだ。

Quantumbot, Highly Successful
情報源:There Is More Than One Way to Quantum(Quantumへの道は1つではない)

 そして彼らは2007年に止めたわけではない。別の文書にQuantumbot 2について詳細な記述がある。

Combination of Q-Bot/Q-Biscuit
情報源:The NSA and GCHQ’s QUANTUMTHEORY Hacking Tactics(NSAとGCHQによるQUANTUMTHEORYのハッキング戦術)
 道徳的、倫理的に崩壊した組織、NSA。適正手続きに手を焼くことを馬鹿らしいと思わせる。

 ありがとう。

Bitcoin詐欺が接続された

Bitcoin $1000

 Bitcoinや、他のLitecoinPeercoinといったデジタル通貨は、我々が換金する方法を変えるだろう。しかし、大きな欠陥を伴う。その欠陥とは、感染したコンピュータを紙幣「印刷」機へと変えるためにも使われうる点だ。

 Bitcoinの背後のアルゴリズムの美しいところは、暗号通貨に必要な、2つの主な課題を解決していることだ。トランザクションを確認し、インフレーションを起こすことなく金銭を生み出す、双方をともに組み合わせている。トランザクションの確認は、P2Pネットワーク上の他の参加者によって行われ、その対価としてBitcoinを得る。全体のプロセスは、マイニング(採掘)として知られている。

 黎明期のBitcoinではマイニングは容易だった。ホームコンピュータでマイニングし、Bitcoinを稼ぐことができただろう。しかし、通貨価値が増大(2013年の間に$8から$1000へ)するにつれて、人々がさらにマイニングするようになった。それに応じて、マイニングは(数学的に)より困難になり、強力なコンピュータが求められるようになった。不幸なことに、こういったコンピュータが自分の所有物である必要はない。オンライン犯罪者たちが運営している最大級のボットネットのいくつかは、今ではマイニングで収益を得ている。感染したホームコンピュータならなんでも、サーバ犯罪者のためにBitcoinをマイニングできるのだ。

 ボットネットを使ってマイニングを行うのは大きなビジネスだ。世界第2の規模のボットネットであるZeroAccessは、感染したマシンで暗号通貨をマイニングすることで、1日に何万ドルかを生み出した。感染したマシンがハイエンドのGPUチップが乗ったビデオカードを搭載しているときは、これは著しく効率的になる。

 こういったマイニング・ボットネットは、人間のユーザを要しない。処理能力とネットワーク接続があればいいのだ。物にまみれたインターネットは、車といった機械やゴミ箱に埋め込まれたコンピュータなど、さらに何百万台以上のWebに接続されたコンピュータをもたらすだろう。お金をマイニングするためには、そういったもののすべてが、Windows PCのようなスペックを持つ必要があるわけではない。たとえばLitecoinは、ハイエンドGPUよりむしろ通常のCPUで実行できるような、よりメモリに徹底したアルゴリズムを使う。

 神話上のインターネットに接続された冷蔵庫がついに発見した存在理由―犯罪者であることを認めざるを得ない。

ミッコ・ヒッポネン
Wired UK 12/2013」に初掲載

ZeroAccess:もっとも儲けの多いボットネット

 今年3月、シマンテック社のセキュリティレスポンスチームの研究者たちは、世界最大のボットネットの1つZeroAcessを「シンクホール化」(分解)することができる可能性がある方法について、調査を開始した。しかしその後…、6月下旬にこのボットネットが自身の更新を開始し、研究者たちがうまく利用する望みを持っていた欠陥を排除してしまった。多少か、あるいは無しかの選択に迫られ、チームは可能なものをシンクホール化するために行動した。そして、50万を超えるボットが対象となった。

 なんと称賛すべき尽力だろうか!

 Ross Gibb氏およびVikram Thakur氏は、学んだ教訓について、今年のVirus Bulletinにて論文を発表する。

 残念ながら、ZeroAcessの大部分はいまだ我々と共にあるが…。

 さらに詳細を知りたい場合には、 このレポートをダウンロードしてほしい。当社の2012年下半期の脅威レポートからの抜粋だ。

ZeroAccess

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード