エフセキュアブログ

マルウェア サービス を含む記事

Necurs - 有償のルートキット

 Necursとは、マルウェアの検知と除去の試みを妨害するためのカーネルモードドライバで、現時点で最も有名なものだ。GOZ(Gameover Zeus)で使われている。すでにPeter Ferrieによる記事で、Necursドライバの技術的な詳細は網羅的に取り上げられているが、我々は分析中にある興味深い点に気付いた。Nucursは「売り出し中のクライムウェア」モジュールとして段階的に取り込まれているのだ。

 我々がNecursドライバの最古のバージョンを見たのは2011年5月で、スタンドアロン型のマルウェアとしてだった。2012年初頭に、あるトロイの木馬型のダウンローダによってドロップされるのを観測した時点までは、他のマルウェアとの関連はなかった。この時はユーザモードのコンポーネントでしかなかったが、ドライバとしてNecursと呼ばれるようになった。

 GOZに当該ドライバが同梱されているのを目にしたのは、2014年の2月に過ぎない。これで著しく注目度が高まった。GOZボットネットの感染端末は何十万に達するものと推定されており、主にオンラインバンキングによる窃盗に用いられている。

 GOZはNecursが組み込まれる前は、関連するドライバ無しで動作していた。米FBI(Federal Bureau of Investigations)が遮断作戦を開始する約2か月半前に、このボットネットにNecursが加えられたのはかなり好奇心をそそる。

 Necursドライバの設計で興味深いのは、サードパーティが利用する際、作者による修正が一切必要ないところだ。Necursドライバの生成とインストールに使われているドロッパーのコードは、Necursのトロイの木馬型のダウンローダとGOZの双方で同じものだ。つまり作者は、ドライバを利用可能にするために必要なものをすべて提供しているのだ。

 ドロッパーのコードはシェルコードの様式で記述されていてそのまま実行可能であり、このドライバを使ったマルウェアが最終的にどんなものであれ、簡単にソースコードに含めることができるようになっている。

 Necursの顧客にソースコードを渡す必要はなく、単にサービスキーの値を適切に設定するだけで、任意の実行ファイルを保護するようにドライバを簡単に設定できる。保護すべきファイルの名称は、ドライバのサービスキーDisplayNameの値から取得される。

 実際のファミリーが何であれ、ユーザモードのコンポーネントからドライバへ命令を与えられるようにする制御用インターフェイスもNecursに組み込まれている。制御はIRP_MJ_DEVICE_CONTROLというリクエストで実行される。これはDeviceIoControlというユーザモードのAPIを通じて送信できる。

 ユーザモードのコンポーネントが最初に送信しなければならない制御コードは0x220000である。Necursドライバはこれを受信すると、ドライバを制御できるプロセスとして、リクエストを送付するプロセスのハンドルを保存する。このコマンドはブートアップごとに1度しか受け付けない。

 制御プロセスとして保存されるには、当該リクエスト用のIRP.AssociatedIrp.SystemBufferが12バイト長で、なおかつ以下の2つのチェックを通る必要がある。

   •  first_dword ^ 0xdeadc0de == second_dword
   •  first_dword ^ third_dword == リクエストを送信したプロセスのpid

 さらにチェックがあり、制御コードを送信するプロセスの名称はNecursのサービスキーのDisplayNameフィールドと同一でなければならない。これにより、Necursが保護するファイル名に対してアクセスしようとコマンドを送信する、望まぬプロセスを回避している。

 Necursは以下を含め、合計15の別々のIoControlCodeをリッスンする。

   •  0x220000 Necursマスターとしてプロセスを登録
   •  0x22000c Necursドライバのパスを取得
   •  0x220010 Necursのサービスキーの名称を取得
   •  0x220018 Necursドライバを更新(ドライバファイルの中身が、IRP.AssociatedIrp.SystemBuffer内のデータに置き換えられる)
   •  0x22001c Necursドライバをアンイストール
   •  0x220028 pidによりプロセスを終了
   •  0x22002c 名前によりプロセスを終了

 各コマンドを呼ぶコードは、ドライバのインストールも行うドロッパーのコード内に含まれている。

Necurs

 こういった特徴は本質的に、Necursドライバを再販およびサードパーティによる使用にうまく適合させている。これはGOZのトロイの木馬で用いられていることから明白である。ボットネットを遮断する現在の試みは、Necursの最大の「顧客」の運営の妨げになっているようだが、少なくともしばらくの間だけだろう。

 当社はNecursドライバのバリアントをRootkit.Necursとして検知する。

 —————

 Post by — Mikko S

AndroidのランサムウェアSLockerは、TORやSMS経由で通信する

 2週間と少し前、Androidの新たなランサムウェアのファミリーである、SLockerを我々は発見した。

 直近に発見されたAndroidマルウェアのKolerと、SLockerが関連しているという証拠は得ていない。しかしながら、Kolerのもたらした脅威をSLockerも成し遂げている。Kolerは実際にはファイルを暗号化しないが、そのように装う。それと異なり、SLockerは端末のSDカードに対して次のような特定のファイルタイプを実際にスキャンする。

slocker (3k image)

 SLockerアプリが起動されると、これらのファイルを暗号化した後、身代金を求めるメッセージを表示する。

Ukraine ransom

 メッセージには、ファイルを復元するためにはオンライン送金サービスにより送金する必要があることが示されている。このメッセージに挙げられている電話番号は、ウクライナのものだ。

 現在のところ、SLockerのファミリーには2つのバージョンがある。1つ目のバージョンではTORを用いて、感染した電話機とマルウェアのC&Cサーバ間の通信用のネットワークを匿名化している。このバージョンではデバッグ情報がすべて有効になっているので、テスト用のバージョンではないかと弊社では推測している。

 SLockerの2つ目のバージョンは、TORが有効になったバージョンと同時期に出現したが、簡素化されている。こちらのバージョンでは(暗号化やハードコーディングされた同一の復号キーを含め)同じコードを共有しているが、デバッグ部分はもはや存在しない。最大の違いは、このバージョンではTORを使用していない点だ。その代わりSMSメッセージ経由で指令を行う。

SLocker permission

 また特筆すべきは、TORを有効にしたバージョンと違い、こちらのバージョンは身代金メッセージの中でロシアの電話番号を掲載し、ロシア通貨を要求しているところだ。

Russia ransom

 我々はさらに深く掘り下げてC&Cサーバを辿り、そのIPアドレスがさかのぼること2005年に、ある個人に登録されていたことを突き止めた。現在は、そこでロシアに拠点を置くWebホスティングサービスが提供されている。

 2つ目のバージョンのSLockerはC&C通信にTORを用いない点において洗練度合が下がるが、依然として活発に開発が行われているように見受けられる。なぜなら、我々が入手した当該バージョンの最新のサンプルには、いまや端末のカメラを用いて写真を撮る機能が搭載されているためだ。今後に渡って、SLockerの作者(達)が開発を続けていく可能性は高い。

—————

Post by — Mikko Hyykoski

ゲームオーバー・ゼウス 世界中で23万4,000台の被害

マルウェアのゲームオーバー・ゼウスが蔓延っています。ボットネットによる損害は甚大なものになる可能性があります。感染リスクもなくなったわけではありません。イギリスを拠点とするSkyNewsは、今後2週間以内の差し迫った攻撃について報じました。

フロリダに本拠を構える銀行は、約700万ドルの損失を被りました。ピッツバーグの保険会社はビジネスファイルを暗号化され、推定で7万ドルの損害を被りました。レストランの経営者は、レシピやフランチャイズの情報など、1万以上ものファイルを暗号化されました。これまでボットネットは、ランサムウェアによって3000万ドルを盗み取っています。

US CERTは、ゲームオーバー・ゼウスについて注意を喚起してきました。アメリカは各国と協力し、ゲームオーバー・ゼウスのボットネットとランサムウェアであるCryptolockerへの対策を主導していますが、決して警戒を解かず、自身でセキュリティ管理をするよう呼びかけています。エフセキュアはこの件に関して支援を行ってきた企業の1つです。

ゲームオーバー・ゼウス(GOZ)を使用すると、Cryptolockerなど他のマルウェアをダウンロードしたりインストールしたりすることができます。また、銀行の認証情報を盗み出すことができるので、ターゲットとなっている個人や企業が不法に預金を引き出されてしまうため、ついには財産を失うおそれがあります。(出典:FBI CYD 1603.0514.4.2 EXT)

GOZは現在FBIが制御しており、収集される感染したコンピュータのIPアドレスについては、インターネットサービスプロバイダと共有していくことになります。サービスプロバイダは顧客にウイルスを除去するツールを指示します。またそうしなければなりません。

では皆さんがすべきことは何でしょうか。

・アンチウイルス・ソフトウェアの使用と管理:  アンチウイルス・ソフトウェアはほとんどの既知のウイルスを認識し、これらからコンピュータを保護します。アンチウイルス・ソフトウェアを最新の状態に維持することが重要です。
・パスワードの変更:  元々のパスワードは感染の際に盗まれている可能性があるため、変更する必要があります。
・オペレーティング・システムとアプリケーション・ソフトウェアを最新の状態に維持:  攻撃者が既知の問題や脆弱性を利用できないようにするため、ソフトウェア・パッチをインストールしましょう。エフセキュア ソフトウェア アップデータは自動化されたツールで、企業ネットワーク内にあるソフトウェアの状態を常時監視するのに役立ちます。
・マルウェア対策ツールの使用:  マルウェアを特定し除去する正規のプログラムを使用すれば、感染防止に役立ちます。エフセキュア オンライン スキャナは無料のオンラインツールで、PCに問題を引き起こす可能性のあるウイルスやスパイウェアを除去します。エフセキュア オンライン スキャナは、別のセキュリティソフトがインストールされていても機能します。

従来のウイルス対策は十分ではありません。例えば、2013年4月に報告されたGOZクライムウェアへの感染のうち、80%が以前には見られなかった新種のものでした。これらの事例では、ディープガードがそのファイルの悪意のある挙動を認識し、攻撃を阻止することにより、感染を防ぎました。

エフセキュア、テレコム・イタリアとの連携で消費者のマルチデバイスライフを保護

エフセキュアの支援によるテレコム・イタリアの新たなセキュリティサービスが、消費者のスマートフォン、タブレット、およびPCを保護し、安全なオンライン・ライフをサポートします。

エフセキュアはこの度、イタリアの大手通信事業者であるテレコム・イタリアと提携し、テレコム・イタリアの消費者向けモバイル・デバイスのすべての顧客にマルチ・デバイス・セキュリティを提供するはこびとなりました。このTIMProtectと呼ばれる新サービスは、PCやモバイル・デバイス上でブラウジングやオンライン・バンキングを行う際の総合的な保護を提供します。また、同サービスは、子どもたちの安全なブラウンジングを保証し、紛失や盗難の際にもモバイル・デバイスを保護します。

この提携は、消費者のマルチ・デバイス・ライフを反映するものです。消費者の89%がWindows PCを使っているほか、16%がApple PC、39%がAndroidのスマートフォン、そして22%がAndroidのタブレットを使用しています*。また、エフセキュア ラボによると、マルウェアはモバイルデバイスとPCの両方で、これまで以上に複雑に進化し続けています。モバイルのマルウェアは通常、プレミアム課金用の番号にSMSを送信したり、バンキング関連のSMSを転用するなどで、ユーザの知らないところで利益を得ようとしています。

テレコム・イタリアのデバイスおよびサービス部門の責任者、Antonio Andrea Vaccarelli氏は次のように語っています。「通信事業者は、変化するお客様のニーズに迅速に対応しなくてはなりません。エフセキュアとの提携により、すべてのデバイスに対し安全なアクセスを保証できるため、お客様はご自分のスマートフォンを管理し、お子様を容易に守ることができるようになります。」

また、エフセキュアのコンシューマ・セキュリティ担当エグゼクティブ・バイスプレジデントを務めるサム・コンティネンは次のように述べています。「もはやオンラインセキュリティとは、自宅のPCを保護することだけではありません。セキュリティはデバイスに対して変化し続けるニーズに柔軟に対応していく必要があります。世界トップクラスのセキュリティ・サービスを提供してきた弊社の実績をもとに、テレコム・イタリアと連携してお客様のニーズに応えるとともに、安全なインターネットを通じてデジタル・フリーダムを推進できることを大変光栄に思っております。」

高い評価を受けているエフセキュアの技術**に基づくTIMProtectは、高度な技術を通じてあらゆるセキュリティサービスを網羅し、オンライン上の脅威にもリアルタイムで対応します。TIMProtectは、ウイルスやスパイウェア、ハッカー攻撃、個人情報窃盗に対する究極の保護機能を提供するほか、ウェブ・ブラウジングの際に有害なウェブサイトやオンライン攻撃をブロックします。


* エフセキュアの2013年デジタルライフスタイル調査は、15カ国(ドイツ、イタリア、フランス、英国、オランダ、ベルギー、スウェーデン、フィンランド、ポーランド、米国、ブラジル、チリ、コロンビア、オーストラリア、マレーシア)で20〜60歳のブロードバンド加入者6,000人を対象にWebインタビューを実施しました。同調査は、GfKによって行われ、2013年4月に完了しました。

* * エフセキュアは3年連続で、AV-TESTの「Best Protection Award」を受賞しています。

Facebookとエフセキュアによる新たな提携で、マルウェアのクリーンアップをソーシャル化

Facebookは、高い評価を受けているエフセキュアのセキュリティソフトをFacebookユーザ向けの無料サービスとして採用します。

人々は、他のどのような通信手段よりも、ソーシャル・メディアを通じて情報をシェアしています。しかし、ソーシャル・メディアの個人用および企業用アカウントの悪用がしばしば大きなニュースとして取り上げられていることを考えると、これからは、新しい方法でユーザのデジタル・アイデンティティを守っていかなければならない時代です。エフセキュアとFacebookは、世界最大のソーシャル・ネットワークのユーザに安全なオンライン環境を提供するべく、提携関係を結びました。

Facebookは今後、エフセキュアのテクノロジを利用したWebブラウザベースのマルウェアスキャナを無料サービスとして提供する予定です。このサービスは、マルウェアへの感染が原因と思われる不審な活動により一時的にアカウントが停止しているFacebookユーザにご利用いただけるサービスです。コンピュータまたはデバイス上のマルウェアや意図に反する望ましくないソフトは、デバイスの正常なパフォーマンスを妨害したり、個人情報を盗んだり、システムにアクセスするなどの可能性があります。これらは、正規のユーザーアカウントから送信されているように見せかけた悪意あるリンクやスパムを投稿することにより、Facebookユーザやその友達のアカウントを悪用する場合があります。

Facebookでソフトウェア・エンジニアを務めるChetan Gowda氏は次のように述べています。「Facebookを安全にお使いいただけるようにすることは、私たちの仕事の中でも極めて重要です。エフセキュアのアンチウイルス技術の力が私たちの現行システムに加わって、マルウェアのブロックと駆除が実現できることを嬉しく思います。」

また、エフセキュアでプロダクトマネージャを務めるArto Saariは次のように語っています。「Facebookの全世界にわたる目覚ましい発展は、家族や友人との関わり方を大きく変えました。その人気を受け、今度はFacebookがオンライン犯罪の主たる標的となっています。エフセキュアは、Facebookのユーザ基盤がサイバー犯罪者に悪用されることを食い止めるべく、Facebookと提携できることを光栄に思います。」

エフセキュアのマルウェア・スキャンおよびクリーンアップ技術は、Facebookのユーザ・エクスペリエンスへと完全に統合されます。Facebookは、不審な活動をするアカウントを識別すると、クリーンアップ・プロセスにユーザをリダイレクトします。スキャンとクリーンアップは、Facebook内のWebブラウザウィンドウから直接実行できます。クリーンアップ完了後、ユーザはハッカーやスパイウェアに監視されることなく安全にFacebookアカウントへログインすることができます。以下にそのプロセスを示します。

•ユーザが感染したデバイスからログインしようとすると、マルウェア感染に関する通知画面が現れます。そこには、エフセキュアのスキャナの使用を推奨する旨が記載されています。スキャナは検出される脅威の種類に合ったものであるため、デバイスにアンチ・ウイルス・プログラムがすでにインストールされている場合でもこれを実行することが推奨されます。スキャナは最新のもので、実行を完了すると自動的に削除されるため、メンテナンスについて気にする必要はありません。

•ユーザは、マルウェア駆除プロセスをスキップするか、推奨スキャナをダウンロードするかを選択することが可能です。マルウェア駆除プロセスをスキップしたユーザには、後ほど再び実行を促す画面が表示されます。

•スキャナをダウンロードし実行しているユーザは、スキャン中もFacebookやその他のサービスを引き続き利用することが可能です。スキャン完了後、ユーザはFacebookで通知を受け取り、スキャン結果を確認することができます。

当社がフェイスブックとのパートナーシップから学んだ3つの教訓

 火曜日、Facebook Securityはマルウェアのクリーンアップを容易にするための新たな取り組みを発表した。そして、その取り組みに当社が参加することを非常にうれしく思っている。エフセキュアは、マルウェアのクリーンアップを行うベンダーとして現在パートナーとなっている2社のうちの1社だ。

 10億人超のユーザがいるフェイスブックは、脅威を検知するのにうってつけの極めて類を見ない有利な位置にいる。他ではほとんどできない規模で、パターンを確認できるのだ。非一般的なブラウザプラグインをインストールさせるスパムリンクを送り込むユーザアカウント…、そう、こうしたアカウントはマルウェアに影響を及ぼされているコンピュータから接続している。では、それについて何をすべきか?

 我々が参画したのはそこだ…。

 Facebookに焦点を合わせたマルウェアの症状を特定すると、Facebookはログイン中に以下のプロンプトを案内する。

Facebook, Your Computer Needs To Be Cleaned

 次に、ユーザに当社のOnline Scannerをダウンロードする選択肢を提示する。

Facebook, F-Secure Online Scanner

 ダウンロードと起動が完了すると、ユーザはFacebookへの投稿を続けることができるようになる。

 当社のスキャナはバックグラウンドで実行され、終了するとFacebookの通知を生成する。

Facebook, F-Secure Online Scanner: finished

 Facebookに焦点を合わせたマルウェアがスキャンを促すトリガーとなったとしても、当然ながら当社のスキャナは、存在するならさらに多くの脅威を検知する。もし困難なケースが発見された場合、Facebookは当社のUIを前面に移動する。

 このプロジェクトにおける、当社のサービスマネージャ「Chanki」は以下の見解を述べている。

 1 — 必ずしも悪意があるというわけではないが、デフォルトでクリーンだとは分類しがたいような、疑わしいインストーラが大量にある。正当な使用法もある、共通プラットフォームを活用するアイテムを複数インストールするようにインストーラが設定されている場合、良いものと悪いものを区別するのは課題となる。

 2 — 我々はまた、FirefoxおよびChrome上の悪意のあるブラウザ拡張の分類、検知、削除を扱う方法を考え出す必要がある。これらのブラウザ拡張は、Facebookのプラットフォームに対して非常に攻撃的な方向性を示している。その典型は、トルコ発祥のマルウェアKilimなどのファミリーだ。また、このブログで以前取り上げたことがあるFBSuperといった、それより以前の攻撃もある。攻撃対象はWin32 OSに留まらない。前述のブラウザに代表されるプラットフォームについても考慮に入れる必要がある。

 3 — 我々は、マルウェア作者にとってBitcoinがいまだに大きな動機付けになっていることも発見した。Bitcoinのマイナーを拡散、インストールするベクターとしてFacebookを活用している2つのマルウェアファミリー、NapolarおよびLecpetexを識別した。

 上出来だ、Chanki!

 当社のOnline Scannerを試したいなら、Facebookのプロンプトを表示する必要はない。ご自由にダウンロード、実行してほしい。USBのツールキットに加えよう。最新の検知のためにオンラインでのアクセスが必要だが、Webベースではない。複雑な脅威が発見された場合、仮想Linuxマシン内にリブートしてからWindowsへ戻る機能など、このスキャナには巧妙な機能がある。すばらしい。

F-Secure Online Scanner UI: Start

 最新のバージョンはいつでもf-secure.com/online-scannerで見つけ出せる。

オンラインプライバシー:皆さんにとっての意味

コロンビアの作家でノーベル文学賞受賞者のガブリエル・ガルシア・マルケス氏はかつて、「すべての人は、公的な生活、私的な生活、そして秘密の生活という3つの生活を送っている」と語りました。

公的な生活、私的な生活、そして秘密の生活。これらが意味することは、特にデジタルの世界では、人によって異なります。ある人は、ペットの猫についてブログに投稿することが自分自身を公にし過ぎていると考えるかもしれません。一方で、日常のあらゆる出来事をビデオでブログに投稿することが当たり前になっている人もいます。

私的な生活という点についてですが、人によっては、お互いにやり取りする従来の電子メールは個人的なコミュニケーションであると思うかもしれません。しかし、技術に詳しい人は、あらゆるコミュニケーションをエンドツーエンドで暗号化し、自分の身元情報を常に匿名にしておきたいと考えるかもしれません。このことは、VPN、匿名化サービスや電子メール暗号化のようなテクノロジーを用いれば可能です。

オンラインで秘密の生活を送るということも、人によって意味が異なってきます。一般的な人であれば、自分の実際の情報を明かしたくないサイトにアクセスする際には、いつもとは違うJohn.Doe@dummy.tldなどの身元不明の電子メールアドレスを使うかもしれません。https://mailinator.com/は、オンデマンドの使い捨ての電子メール受信トレイを使うのに役立つサービスです。その他の人にとっては、Webでの秘密の生活は、闇に包まれた活動を意味するかもしれません。つまり、Silk Roadのような市場の運営といった非合法活動の隠蔽、ボットネットの作成と運営、RATの実行やビットコインマイニング用のマルウェアやキーロガーの作成などといった活動です。

これまでお話ししたように、それぞれの生活の意味は、人によって異なります。知らないことを幸せであると感じる人もいます。こうした人は、自らの安全を保ったり、オンライン上の身元情報や所有物の乗っ取りと悪用を防いだりするためのわずかな手順を踏まないことで、自分のオンライン上の身元情報に対して、どのようなことが起こる可能性があるのか(そして残念なことに、その結果として何が起こるのか)を知りたいとは思いません。

公の生活、私的な生活、そして秘密の生活という概念の一つひとつを、今後、ブログへの投稿で詳しく説明していこうと考えています。そこでは、ネットサーフィンの際に身元情報を保護する方法についてのヒントもお知らせします。それまでの間、この3つの生活が、皆さんにとって、どのような意味をもつのか考えてみてください。


「ポリス・ランサムウェア」がAndroidのエコシステムに拡大

 クライムウェアでは、Windowsベースの技術がAndroidへと着実に移行している。フィッシング、偽のアンチウィルス詐欺、バンキング型トロイの木馬のコンポーネントと見てきたが、今では…ランサムウェアだ。

 そう。Android用の「ポリス・ランサムウェア」である。当社がこれに付けた名前はKolerだ。

main screen

 クライムウェアのエコシステムは、日常的に接触していたAndroidシステムを長い間、注目していた。ランサムウェアが飛躍を遂げようとしているのを目にするのは、実際のところ大きな驚きというわけではない。

 以下に当該ランサムウェアがどのように動作するのかを示す。

 ブービートラップが仕掛けられた(ポルノ)サイトをAndroid端末で訪れると、セキュリティ侵害が発生する。続いてマルウェアは動画プレイヤーを装って、インストールを求める。これは「enable unknown sources(未知のソース)」の設定がどのように指定されているかに依存する。

 インストールが完了すると、Kolerは電話機の個人情報をリモートサーバへ送信する。この後、不法なポルノサイトにアクセスしたことで電話機がロックされた旨を伝えるWebページをサーバが返す。ロックを解除するために、罰金を支払うように言われる(身代金)。

 Kolerはファイルを暗号化すると主張するが、実際には何も暗号化されない。

 以下のドメインは、Kolerのリモートサーバとしてハードコーディングされている。

  •  mobile-policeblock.com
  •  police-guard-mobile.com
  •  police-mobile-stop.com
  •  police-scan-mobile.com
  •  police-secure-mobile.com
  •  police-strong-mobile.com

 現時点で、Kolerのサーバ群はオフラインだ。Googleのキャッシュで1台のサーバのみ(職場閲覧注意の)コンテンツが見つかるが、マルウェアは削除されている。これらのサーバは米国にホストされている(いた)。whoisでは、電話番号などデンマークおよびロシアのコンタクト情報が出てくる。

 現在のところ、ローカライズした各国のバージョンが30か国以上で見つかっている。コンテンツはWindows版の「ポリス・ランサムウェア」から移植されており、モバイルブラウザ用に整形されている。

 Kolerを削除するには:

 このランサムウェアは戻るボタンを無効にしているが、ホームスクリーンボタンは有効だ。ユーザはたった数秒で、電話機の設定を削除したり、出荷時の設定に復旧したりできる。

 別の選択肢は、サービスメニューに戻り、そこからKolerを削除する方法だ。

 Kolerはまた、adb.exe経由でデバイスへアクセスするのを阻害する。シェルは起動できるが、ファイルの閲覧は許可されていない。

 詳細については、当社のTrojan:Android/Kolerの説明から得られる。

 Analysis by — Mikko Hyykoski

Android ‐ 依然として最多のホスト攻撃

2014年第1四半期の新たなモバイル脅威の大半はAndroidユーザをターゲットとし、サイバー犯罪者は、これまでにないAndroidプラットフォームでの数々の脅威によってその現状を「刷新」しました。

エフセキュアの最新版モバイル脅威レポートによれば、2014年第1四半期にエフセキュアラボが検出した新たなモバイル脅威の99%以上がAndroidユーザを標的にしていました。検出された新種の脅威ファミリーとその亜種277件のうち、275件がAndroidを標的にし、iPhoneとSymbianはそれぞれ1件ずつでした。前年同期を見てみると、新種の脅威ファミリーとその亜種は149件で、Androidを標的としていたのは、その91%でした。

2014年第1四半期ではこれまでにはなかったAndroidマルウェアが多数検出されています。これは、モバイル環境における脅威が精巧さと複雑さの面で進化し続けていることを示しています。当概四半期には、Litecoinなどの仮想通貨を採掘するためにデバイスをハイジャックする、暗号通貨(クリプトカレンシー)のマイナー(採掘者)が初めて確認されました。またブートキットも初めて見つかっています。これはデバイスの起動ルーチンの最初期段階で打撃を与える、検出や駆除が極めて困難なものです。さらにTorトロイの木馬や、Windowsでのインターネットバンキングを狙うトロイの木馬も初めて確認されています。

エフセキュアラボで主席研究員を務めるミッコ・ヒッポネンは次のように述べています。「こうした進化はマルウェアの作成者が目指す方向に同調している兆候を示しています。今後数カ月のうちにもっと多くのことが判明するはずですが、たとえば、携帯電話がますます高度になることで、サイバー犯罪者がこれらを利用し、暗号通貨を採掘して利益を手にすることが可能になっているのです。」

エフセキュアが第1四半期に評価した中で、英国が最も多くのモバイルマルウェアに遭遇し、ユーザ1万人当たり15〜20ファイル(500人当たり1ファイル)のマルウェアファイルがブロックされました。米国、インド、ドイツでは、それぞれ1万人につき5〜10のマルウェアがブロックされ、サウジアラビアとオランダでは、1万人につき2〜5のマルウェアがブロックされています。

悪質な作為

デバイスに感染するとモバイル脅威はどのような悪意ある行為を行うでしょうか。本レポートでは、モバイルを狙うトロイの木馬の83%がプレミアム課金用の番号、またはSMSベースの購読サービスにSMSメッセージを送信しており、これが悪質なアクティビティの中で最も一般的であることがわかっています。

以下、モバイルを標的とするトロイの木馬による一般的なアクティビティの一覧です。

  • SMSメッセージをプレミアム課金用の番号に送信する
  • 要求していないファイルまたはアプリケーションをデバイスにダウンロードまたはインストールする
  • デバイスの位置またはオーディオ/ビデオを密かにトラッキングし、ユーザを監視する
  • 実際には役立つ機能がないモバイルAVソリューションになりすます
  • ウェブサイトに密かに接続してそのサイトのアクセス数を水増しする
  • バンキング関連のSMSメッセージを密かに監視して詐欺に流用する
  • ファイル、契約書、写真その他の私的データなどの個人情報を盗用する
  • 通常は無料の正規アプリケーションを利用、更新またはインストールするときに「料金」を請求する

iPhoneおよびSymbianの詳細、また脅威から身を守るためにできる対策などについては「2014年第1四半期モバイル脅威レポート」を参照してください。
オンラインバンキングやオンライン閲覧に関する最高のAndroidセキュリティのほか、ペアレンタルコントロール、アプリケーションスキャニング、盗難防止などの機能については、30日間無料のエフセキュア モバイル セキュリティをお試しください。Google Playでも入手可能です。

ヴィンテージ:ファッションや家具には魅力的だが、 ソフトウェアには無用

最近のエフセキュアの調査では、10社中4社の中小中堅企業が古いソフトウェアを使用していることを報告しており、データ漏洩に対し無防備な状態にあります。

なんらかの商品を購入して、長い期間保管しておけば、それはやがてヴィンテージ化します。粋で独特の味を出し、過ぎ去った日々へと時間を戻してくれるヴィンテージは、ファッションや家具、車にとっては魅力的でも、商用ソフトウェアにとって古いということはセキュリティリスク以外の何物でもありません。エフセキュアの調査では、多くの企業が古いソフトウェアを使用することで会社の資産を大きな危険にさらしていることがわかっています。

94%の中小中堅企業は、ソフトウェアを常に最新の状態にしておくことが重要であると考えています。しかし、現実にはそのようになっていません。自社のソフトウェアが常に最新の状態であると答えた企業はわずか59%、ソフトウェアを最新の状態に保つのに充分なリソースがあると答えた企業はわずか63%にすぎません。

ソフトウェアを最新の状態に保つことは、ビジネスでのセキュリティ全体において非常に重要な要素の1つです。古いソフトウェアには、サイバー犯罪者が企業ネットワークへの侵入経路として悪用可能なセキュリティ上の欠陥が潜んでいます。エフセキュアラボが検出したマルウェアトップ10の70%から80%は、ソフトウェアを最新の状態にしておけば防ぐことができたものです。

ソフトウェアアップデートは長時間を費やす

企業は、ソフトウェアのアップデートに1週間当たり平均11時間の時間を費やしていると報告しています。企業の規模が大きくなるほど、その時間は増えています。従業員数50人未満の企業では、1週間当たりの平均時間が3時間であるのに対し、従業員数が250人を超える企業ではこの時間は15時間以上になります。

エフセキュアのコーポレートセキュリティ担当バイスプレジデント、ペッカ・ウスヴァは次のように述べています。「アップデートに企業が費やす時間については、ほんの氷山の一角に触れるだけですが、ありがちな誤解として、問題がOSにあると認識されていることが挙げられます。しかしそれは誤りです。OSは、十分にメンテナンスが施され、アップデートが行われています。深刻なのは、企業や個人が使用するサードパーティのアプリケーションなのです。いくつか例を挙げるとSkype、Adobe Reader、さまざまなプラグイン機能を持つブラウザ、Javaなどが該当します。皆様はご自分のデバイスに何がインストールされているかをご存知でしょうか。」

一方、古いソフトウェアに潜む脆弱性を狙ったサイバー攻撃は増え続けています。そして、新種の脅威というのは、数日や数週間ではなく、秒単位で作成されています。

従業員が個人所有のソフトウェアを使用

現在では従業員は個人所有のデバイスを持ち込んでおり、調査を行った企業の約半数は従業員による個人所有のソフトウェアの使用も容認しています。企業の規模が小さいほど、この傾向は顕著になります。従業員数が50人未満の企業の56%が容認しているのに対し、従業員数が250人を超える企業で容認しているのは39%です。また、フィンランド(53%)、スウェーデン(59%)では比較的高い割合で容認され、ポーランド(30%)やフランス(36%)では、容認度が低くなっていることが報告されています。

67%の企業では、個人所有のソフトウェアを使用する従業員は、自分たちでアップデートを行わなければなりません。しかし、個人がソフトウェアを常に最新の状態にしている保証はないため、これはリスクの高いポリシーということになります。従業員数が50未満の企業では、81%の従業員がアップデートを自分で責任を持って実施しなくてはなりません。また、企業の30%はMicrosoftのアップデートにしか対応していません。

ソフトウェア アップデータ : ソフトウェアを最新の状態に保つ、従来とは異なる最新の方法

ウスヴァは、企業のすべてのコンピュータとデバイスのソフトウェアすべてを最新の状態に保つ方法は、そのプロセスを自動化するほかないと語ります。「ソフトウェアメーカーは週ベースで、または長くても月ベースでアップデートのリリースを行います。これらのアップデートを手動で行おうとするのは、負け戦に挑むようなものです。ソフトウェア アップデータの自動化機能に全社的なセキュリティアップデートをすべて任せることで、貴重な時間やリソースを他の作業に充てることができるようになります。」

ソフトウェア アップデータはエフセキュア プロテクション サービス ビジネス(PSB)の機能の1つです。ソフトウェア アップデータを使えば、企業は従業員がインストールしたソフトウェアでも、常に最新の状態に保つことができます。プロセス全体を自動で完結することができるのです。ソフトウェア アップデータは、ソフトウェアの脆弱性を狙った攻撃から企業ネットワークを保護するために役立ちます。また、ソフトウェア アップデータはエフセキュアのその他の法人向け製品にも利用可能です。

ヴィンテージは、ファッションだけに留めておきましょう。昨日のソフトウェアは今日の時間や費用の無駄であり、明日の信頼や重要なデータ喪失のリスクとなります。

* エフセキュアの2014年デジタル企業調査は、8カ国(ドイツ、イタリア、フランス、英国、スウェーデン、フィンランド、ポーランド、アメリカ合衆国)で1〜500名の従業員(平均200名)を有する企業を対象にWebインタビューを実施しました。同調査は2013年11月に実施されました。

サポート終了後のWindows XP対応策

本日2014年4月9日をもって、マイクロソフトのWindows XPのサポートが終了します。まだ上位オペレーティング・システムに移行が完了していない場合、最低限のセキュリティを確保するためには、どのようにすればよいのでしょうか。

Windows XPの延長サポートが終了になった後は、脆弱性が発見された場合にも修正パッチは提供されません。過去2010年7月13日にWindows XP SP2のサポートが終了した際には、その2日後に脆弱性を悪用したマルウェアStuxnetによるセロデイ攻撃が発生しています。このようにサポートが終了したオペレーティング・システムを使用し続けることには極めて大きな危険が伴います。エフセキュアのデスクトップ向けの製品では、2016年6月30日までWindows XPのサポートを延長いたしますが、さらになるべく安全にWindows XPを使用し続けるためには、幾つかの対策が必要になります。なおこれらの対策は、あくまでも上位のオペレーティング・システムへ一刻も早く移行するための経過処置であり、完全にセキュリティのリスクを回避できるものではありません。

法人での対策

1.業務上インターネット接続が不可欠な端末以外はインターネットに接続させないようにする

2.ゲートウェイ・レイヤでウイルス対策を行う
社内と社外のネットワークの境界であるゲートウェイ・レイヤでウイルス対策を行い、社内のネットワークに接続されているPCへ、脆弱性攻撃が届かないようにします。

3.危険なWebサイトへの接続の防止
「ブラウザ保護」の機能を備えたセキュリティ・ソフトウェアを使用して危険なWebサイトへの接続を防止し、Webサイトを踏み台にした攻撃から防御します。

4.脆弱性攻撃を防ぐソフトウェアを導入する
未知の脅威から防御するため、「ふるまい検知型」の機能を備えたソフトウェアを利用します。

5.出口対策を実施する
PCがウイルスに感染した場合に、感染した端末から社内のPCやサーバに侵入したり、外部のサーバへインターネット経由で情報を持ち出そうとする攻撃を防ぐため、ポートやIPではなく、特定のアプリケーションごとの通信を許可するかどうか設定する「アプリケーション制御」の機能を備えたソフトウェアを使用します。

2については「エフセキュア アンチウイルス Linux ゲートウェイ」で対応可能です。3〜5については、「エフセキュア クライアント セキュリティ」ですべてカバー可能です。なおこのようなセキュリティの機能を有効に利用するためには、セキュリティ・ソフトウェアの一元的な管理が必要となり、そのためエフセキュアでは「エフセキュア ポリシー マネージャ」を提供しています。あるいは初期投資を抑制するため、「エフセキュア プロテクション サービス ビジネス」のようなSaas型のサービスを利用されることも有効です。

家庭での対策

1.代替となるブラウザをインストールする
Internet Explorerだけに頼らず、代替となるブラウザを1つまたは複数インストールします。(ブラウザは無償です)。デフォルトのブラウザをInternet Explorer以外に設定します。

2.不要なソフトウェアを削除する
インストールされているソフトウェアを確認し、不要なものは削除します。ほとんどの古いソフトウェアは脆弱なものと考えられます。

3.プラグインを無効あるいはアンインストールする
JavaやAcrobat Readerの脆弱性を悪用した攻撃が最近増加しています。家庭用のPCにJavaをインストールする必要はおそらくないはずです。また、PDFファイルを開くときなど、操作の前に「常に尋ねる」ようブラウザを設定します。

4.接続は常にNATルータ経由にする
家庭では、NATルータがハードウェアのファイアウォールの役割を果たします。また、ノートPCを持ち出して、外部の無償のWiFiスポットに接続すべきではありません。

繰り返しになりますが、上記の法人での対策も家庭での対策も、Windows XPから上位オペレーティング・システムへの移行期間のための一時的な処置であり、完全にセキュリティを確保できるものではありません。エフセキュアでは、一日も早い上位オペレーティング・システムへのアップグレードを推奨します。

ダークウェブに潜む隠しサービスって!?


最近、ダークウェブ(匿名化技術などを利用したウェブサイト)の話題をチラホラ見かけます。
Silk Roadの運営者の逮捕、BitCoin事件などありましたので、法執行機関やセキュリティ研究者がダークウェブが注目するのは当然かもしれません。

FBIがダークネット界の重鎮「Silk Road」の運営者を逮捕、Bitcoinが一時暴落

以前からダークウェブは悪の温床となりつつあることが囁かれていました。しかし、実際にどの程度の隠しサービスが存在するのか、あまり気に留められていなかったように思います。
最近では、Tor上でマルウェア用リソースなど900のサービスが稼働していることが確認され、サイバー攻撃に悪用されていることが報告されました。

Number of the week: an average of 900 online resources are active on TOR daily
Tor hidden services – a safe haven for cybercriminals

この辺は予想通りであり、サイバー攻撃がさらに匿名化してる、くらい受け取られてしまうかもしれません。しかし、実際はこれだけではなく、さらに多くのサービスがダークウェブ上に移行しています。
ブラックビジネスそのものがグローバル化し、営業行為としてダークウェブを利用しているわけです。
一般にはあまり馴染みの無い世界かと思いますので、現在どのようなサービスが主に移行されているのか一部を紹介したいと思います。

(1)マネー・ロンダリング、ブラック銀行など
BitCoinの事件以降、これらのサービスは注目されていますね。

OnionWallet


(2)ギャンブル
ギャンブルサイトも昔からあったサービス。どのくらいの金額が動いているのかは分かりません。

Pokerle


(3)武器売買
一部、テロ支援などもダークウェブへ移行しつつあります。
この辺は関わりたくないですね。

ARMORY

(4)偽造関係
SuperDollars ?? なんでしょうか、これは??

superusd


(5)AXXXXXXX
ノーコメントで。

hidden_service3



ちなみに、ダークウェブがハッキング被害に合うこともあります。
この場合は、利用者のリストはどうなるんでしょうか??法執行機関へ提供とかでしょうか??

darkweb incident


このようにサイバー攻撃とは離れた分野においても、ダークウェブが利用されるようになってきています。
国境を超えてのやり取りが殆どでしょうから、対策には国家間連携、情報共有などがさらに重要になってきます。
この状況下で各国がどのように対策案を出してくるのか、大変興味深いところですね。

企業環境を守るうえで重要な8つのステップ

企業の端末を、脅威から「保護」された状態にしておくための8つのポイントを紹介します。

1. 安全なOSやソフトウェア、ハードウェアは存在しない

残念ながら、「安全」なコンピュータという概念は、企業環境における深刻なセキュリティホールが放置されうる誤った概念です。安全だと思われている端末が実は保護されていなかったり、監視さえされていないことがしばしば散見されます。したがって、端末のOSや使用しているソフトウェア、およびこれらを実行しているハードウェアのすべては脆弱なものであるということを忘れてはいけません。これらすべてには、保護と監視が必要です。

2. 侵入防止機能付きのセキュリティ製品を使う

不審な挙動を監視する侵入防止機能を備えたセキュリティソフトを活用して、最高レベルの保護を確実に行ってください。これは、未知のマルウェアから端末とネットワークを保護する上で有益です。

3. 内部通信もデータの暗号化を

たとえローカルエリアネットワーク内であっても、通信チャネルを安全に確保することは効果的です。1つの端末のセキュリティが破られれば、ネットワーク全体が脅威にさらされることになるだけでなく、内部から攻撃される可能性も出てきます。そのため、すべての通信チャネルを安全な状態に維持することが重要です。

4. 自宅やモバイルでの業務の保護

業務用のノートPCやモバイルデバイスの保護は、比較的対応しやすい問題です。より対応が難しいのは、スマートフォンやゲーム機、さらには自宅のPC、またはUSBメモリのように家庭で使用されるデバイスの保護です。例えば、ある従業員が業務で使用する自宅のPCは、最新のセキュリティソフトを使用していない、あるいは全く保護されていない可能性もあります。また、ITセキュリティについて知識のない家族が使う場合もあります。このPCがウイルスに感染すれば、接続しているすべてのデバイスが感染しかねません。これは考えられる最悪のシナリオであり、外部デバイスからの接続をすべて禁止することで、このような事態を確実に防止することも可能です。しかし、避けられない例外が発生することもまた現実です。
だからこそ、従業員に私物のPCやスマートフォン、タブレット用のセキュリティソフトを提供し、これらのデバイスの定期的なスキャンや検査を行うことは効果的な対策です。エフセキュア プロテクション サービス ビジネス(PSB)のような、簡単に監視できる一元管理された環境にすべてをまとめれば、より安全です。

5. ユーザアカウントの保護

ユーザアカウントは単に社員とEメールアドレスを結びつける手段ではなく、1人のユーザに属するファイル、リソース、情報、権限、ネットワークアクセスのすべてを意味します。ユーザアカウントを保護するためには、従業員が強力かつ唯一のパスワードを使い、それを定期的に変えることが有効です。また、デバイスやパソコンが使用されないまま数分間経過している場合に、自動的にロックがかかるようにすることもユーザアカウント保護の1つです。

6. 「乱用」ではなく「一定の権利」

ユーザの権限レベルを管理することは非常に重要です。マルウェアが活動を行うには権限が必要です。このため、ネットワーク上でのマルウェア感染の影響を最小限に抑えるためには、ユーザの権限をそのニーズに合わせて制限する必要があります。従業員には、業務を行う上での権限が十分に与えられるべきですが、必要以上の権限は与えられるべきではありません。こうした制限の必要性について従業員の理解を得るため、マルウェアの影響や方針の実施について教育することが効果的です。

7. 多数のユーザの多様なニーズ

企業環境が大規模であるほど、ユーザもより多様です。これは、最大限のセキュリティを確保しながら、従業員のニーズを考慮に入れる必要があるということです。例えば、マーケティングや会計、研究開発分野などでは、ブラウザのプラグインやソーシャルネットワークの使用が必要となる場合がありますが、潜在的なリスクが伴います。マルウェアの危険にさらされるリスクを回避するために、これらの使用を制限することができますが、ある特定の状況においては、感染のリスクを低減するために複数のパソコンを使用することも考えられます。

8. セキュリティに関する教育

情報セキュリティに関して従業員をしっかりと教育することですは、他に劣らず極めて重要なことです。脅威やその回避法について知っていれば、より良いセキュリティ対策を自身で実施することができるだけでなく、企業側が端末に適用する制限についても理解を得ることが容易になります。また、ソーシャルネットワークに潜む危険、迷惑メールやフィッシング攻撃、エクスプロイトおよびこれがもたらす損害、また攻撃者がソーシャルエンジニアリング手法を利用して企業ネットワークに侵入する方法についての知識も重要です。

情報セキュリティ、2013年の出来事と2014年への影響

エフセキュアのセキュリティラボ主席研究員であるミッコ・ヒッポネンが、情報セキュリティの分野で2013年に発生した出来事と、その2014年への影響について語ります。



現在私たちは、インターネットの転換期にいます。数年前まで、ウェブは国境も距離も地理も国をも超えた一種の理想郷でした。人々は自分のデータがどこに保存されているかといったことには注意を払っていませんでした。インターネットは真のグローバルを体現していました。しかし今や、私たちはこの理想郷を失いつつあります。世界中の人々に対して大規模なスパイ行為が行われていることが判明したからです。人々は各自のデータはどこに保存されているのか、どの国の法律下にあるのか、使っているソフトウェアはどの国でつくられたものなのか、と問いかけるようになってきています。グローバルだったインターネットは、国境によってばらばらに分断された状態になっています。こうしたインターネットの分断状態は2014年以降も続くでしょう。

諜報機関による傍受

スノーデン氏が米国家安全保障局(NSA)の資料を公開したことにより、諜報機関の実態が明らかになりました。諜報機関の行為は私たちには制御不能であり、彼らが暗号化アルゴリズムを弱体化させているという事実により、私たち全員の安全が脅かされています。問題の本質は、彼らが使命を果たすためにはどんなことでもしようとしているように見えることです。本来の目的を忘れて、力を持ち過ぎ、もはやテロリズム対策とは言えなくなっています。そうであれば、アンゲラ・メルケル首相の電話を盗聴することはなかったでしょう。

インターネットの使い方をどのように変えるべきか

まず第一に、心配するのではなく憤慨すべきです。こうした行為に技術面から対策を打つのは難しいことですが、変化は国際的な圧力によって起こります。技術面に関して言えるとすれば、あらゆるところで暗号化を利用し、強力なパスワードを作成し、大規模かつ包括的な監視を実施していない国のクラウドサービスを使うべきということです。コンピュータ犯罪やマルウェアからの保護に使用するのと同様に、良質なコンピューティング予防策を講じてください。

ビットコイン

2014年には、ビットコインのような暗号通貨が、コンピュータの専門家だけではなく、一般の人々に広く認知される状態になるでしょう。遂に仮想暗号通貨時代の到来です。現金と同様、暗号通貨も良いことにも悪いことにも使われます。エフセキュアでは、オンライン犯罪の世界における悪用に目を光らせています。

見えないウェブ(ディープウェブ)

現在諜報機関は、可能な限りウェブをコントロールしようとしています。これはすなわち、インターネット全体が変わりつつあるということです。エフセキュアはインターネットの将来のために闘っています。今もウェブ上に自由を求めている人々は、見えないウェブに移行しています。これも時が経てば、同じようにコントロール下に置かれるでしょう。そして、見えないウェブにおいても間違いなく悪意のある行為が行われています。しかし見えないウェブのすべてが悪というわけではありません。人々の悪に関する考え方は、従来のウェブでも見えないウェブでも同じです。

ミッコ・ヒッポネンの最近の解説を以下でご覧いただけます。
TED talk – ミッコ・ヒッポネン:NSAは世界の信頼をどれほど裏切ったか−今こそ行動のとき
ロイターTV インタビュー – 信頼するクラウドで
ロイターTV インタビュー – ビットコイン – サイバー犯罪最前線

10年前

 もしあなたが10年前のコンピュータでWindowsを実行していたのなら、それはWindows XPだった.

 実際には、十中八九Windows XP SP1(サービスパック1)を走らせていた。

 これは重要なことで、Windows XP SP1はデフォルトでファイアウォールが有効になっておらず、自動更新の機能もなかった。

 ということは、Windowsを実行していたのならファイアウォールが稼働しておらず、手動でシステムにパッチをあてなければならなかったということだ。そのパッチはセキュリティ上の脆弱性に満ちたInternet Explorer 6でダウンロードした。

 それならば2003年にワームやウィルスが蔓延したのも、驚くに値しない。

 実際に、2003年には史上最悪の大発生のいくつかを目の当たりにした。Slammer、Sasser、Blaster、Mydoom、Sobig、その他もろもろだ。

 深刻なダメージを与えることになったものもあった。Slammerはオハイオ州の原子力施設で感染したし、バンク・オブ・アメリカのATMシステムを落とした。BlasterはワシントンDCの外で列車を軌道上に停止させ、カナダの空港にあるエア・カナダのチェックインシステムを落とした。Sasserはヨーロッパにあるいくつかの病院で徹底的に感染した。

 こうしたWindowsのセキュリティにまつわる問題は、マイクロソフトが手を打たなければならないほどひどかった。そしてそれは為された。

 後からわかったことだが、同社はセキュリティプロセスにおいて壮大な改良を行ったのだ。

 マイクロソフトは信頼できるコンピューティングを開始した。立ち戻って古い脆弱性の発見と修正をする間、すべての新規開発を停止したのだ。

 今日では、64ビットWindows 8のデフォルトのセキュリティレベルは、Windows XPよりずっと進んでおり、比べものにさえならない。

 我々は、ほかの会社も同じような改善を行ったのを見てきた。

 マイクロソフトの出荷が攻撃するには厳しくかつ難しくなっていき、攻撃者はより与しやすい標的を探し始めた。

 攻撃者のお気に入りはAdobe ReaderとAdobe Flashだった。数年間にわたり、アドビの製品に脆弱性が次々に見つかった。そしてアップデートも簡単ではなかったため、ほとんどのユーザはひどく旧式の製品を使っていた。最終的にはアドビも同じ行動をとった。

 今日では、たとえばAdobe Readerのセキュリティレベルは、古いバージョンのPDFリーダーよりずっと進んでおり、比べものにさえならない

 現在、目下の戦いは、Javaとオラクルに関するものだ。オラクルは今のところ同じ行動をとっていないように見える。そして、その必要もなさそうだ。 ユーザは使わないことで意思を表明しており、JavaはすでにWebから消え去っている。

 エンドユーザのシステムの全体的なセキュリティレベルは、今やかつてないほどに向上している。この10年間に、大きな改善がもたらされたのだ。

 不幸なことに、この10年間に我々の戦う相手も完全に変わった

 2003年においては、まだすべてのマルウェアは楽しむためにホビイスト達によって書かれていたものだった。こうしたホビイストは、犯罪組織だけでなく、ハクティビストや政府といった新たな攻撃者に取って代わられている。犯罪者と、特に政府はその攻撃に投資する余裕がある。

 その結果として、このような素晴らしい改善がありながらも、我々のコンピュータはいまだ安全ではない。

 しかし少なくとも、2003年のように1週間おきにマルウェアによって飛行機が飛ばず列車が止まるといったことは見なくなった。

ミッコ・ヒッポネン
GrahamCluley.com」に初掲載

モバイル・マルウェアからの防御 - デバイス自体を守る

今日、ほとんどの人がモバイル・デバイス上に個人用および業務用のメール・アカウントやさまざまな重要なサービスを搭載しています。これは便利である一方、デバイスを紛失したり盗まれたりした場合、ダメージは物理的なデバイスそのもの以上になります。

加えて、オンラインによる攻撃に対する懸念以前の問題として、デバイスにマルウェアを仕掛ける最も簡単な方法は、何者かがデバイスを手にしたときに、手作業でインストールすることです。言い換えれば、まず第一にデバイスを物理的に保護してください。

1.  デバイスをロックする
デバイスをロックしておけば、手元から離れた場合でも、誰かがモニタリング・ツールやスパイウェアなどをインストールすることを防止できます。ロックを効果的にするために、パスワードやパスコードはユニークで、ご自分では記憶しやすく、他人には難しいものが望ましいといえます。

2.  アンチ・セフト防御をセットアップする
アンチ・セフト防御はデバイスを回収できない場合にメモリーカードも含めてデバイス内のデータをリモートで消去できる機能です。いくつかのアンチ・セフト・ソリューションは、デバイスを探すために、位置をマッピングしたり、アラームを鳴らす機能も備えています。


やる気のある攻撃者が望むものをたびたび手に入れるのはなぜか

 組織外の人から見て経済的な価値を持つ可能性がある情報を保持する企業に、あなたはお勤めだろうか?あるいは、共有ネットワークドライブに保存しているドキュメントへのアクセスを得ると、もしかすると外国で役に立つだろうか?イエス?それなら、おめでとう。あなたは既に、しつこくてやる気のある攻撃者(ときに、ただし稀にだが高度な技術を持つ)の標的になっているかもしれない。

 フィンランドCERTのこちらのプレゼンテーションによれば、フィンランドでさえこうした攻撃が10年近く見られる。昨今では、至る所にある。

 標的型攻撃の好例は、2011年にRSAに対して行われたもので、当社ではティモ・ヒルヴォネンが分析を行った。RSAのネットワークでの感染に関して、ティモがオリジナルのソースを探し、最終的に見つけるまでの話は、この投稿にすべて記載されている。

RSA 2011 email

 RSAは、ある従業員宛てのメールの添付として送付されたドキュメントにより侵害された。このドキュメントには従業員のコンピュータに感染したエクスプロイトが埋め込まれており、攻撃者が侵入するのに不可欠な足がかりとなっている。当該コンピュータから、ネットワーク上の残りのコンピュータを侵害するために移動していくのだ。

 Virustotal経由で我々が受け取ったファイルの中から、ティモはドキュメントを見つけた。Virustotalとは、投稿したファイルをいくつかのアンチウイルス・エンジンでスキャンできるオンライン・サービスだ。ユーザはスキャン結果、つまり悪意がある可能性を確認することができ、またファイルはさらに分析するためにアンチウイルス企業に送付される。Virustotalでは日々数十万のファイルが投稿される様子が見られる。

 悪意あるものを検知するかを確認したいので、我々はVirustotalから送付されるファイルの分析に多大な努力を費やしている。日常的なマルウェアに加えて、不審なユーザがスキャンするために投稿するエクスプロイト・ドキュメントも分析している。

APT animation

 上のすべてのドキュメントにはエクスプロイト・コードが含まれ、脆弱性のあるドキュメント・リーダーでこれらのドキュメントを開くと、ユーザのコンピュータにマルウェアが自動的にインストールされる。ドキュメントからは標的について垣間見ることもできる。このような添付ファイルを受け取ることが予期されるのは、どのような人なのだろうか?

 当社の最新の脅威レポートにて、Jarno Niemelaはこうしたドキュメント一式を取り上げ、そこから文章をすべて抜き出して、用語のクラウドを構築した。

Word clouds

 左側の用語クラウドは、テーマが政治的だと当社で分類したドキュメントからだ。右側のものは、企業をテーマにしていると感じたドキュメントによる。これらのクラウドから、攻撃者の興味を引いているのがどういった分野の類なのか、ヒントが得られる。

 しかしながら、同じトリックが永遠に使えるわけではない。エクスプロイトを添付して十分な数のメールを送ったら、標的は学習、適応する。それだからこそ、「水飲み場型攻撃」という形の新たなトリックを我々は目にしてきた。水飲み場型攻撃は次のように機能する。攻撃者は、標的が訪れると思しきWebサイトを探し出す。Twitterや、Facebook、Appleのようなソフトウェア企業を標的にしたいなら、おそらくモバイル開発用のWebサイトを選択するだろう。政府機関を追っているのなら、アメリカの労働省のWebサイトにIE8用のゼロデイエクスプロイトを仕掛けるかもしれない。その後は単に標的が当該サイトを訪れて、感染するのを待つだけだ。

 そしてまたUSBドライブを使った、古くて優れたトリックがある。

Russia USB G20

 G20首脳に提供されたUSBドライブに実際にマルウェアが含まれていたというニュースを裏付ける情報を、我々は持ち合わせていない。もし真実であるなら、少なくとも攻撃者を楽観性が欠けていると責めることはできない。

 つまり防御はシンプルなのだ。同僚からのメール添付を開かず、インターネットでWeb閲覧をせず、USBドライブを利用しなければよい。もちろん実際には、その他のことも数多く念頭に置いておく必要がある。やる気のある攻撃者から守ることは、非常に非常に困難だ。日々、すべての物事を適切にしておかなければならない。攻撃者はあなたが犯す過ちをたった1つ見つけるだけでよいのだ。悪者たちがそれを得るのは簡単すぎる。そして世の中でこれほど多くの組織が攻撃下に置かれているのは、これが理由だ。

 追伸。こうした攻撃から身を守るためのヒントについて、Jarno Niemelaが今秋のVirus Bulletinにて示したプレゼンテーションを参照するとよい。

TDLドロッパーの新たなバリアントがCVE-2013-3660を侵害

 最近、我々はTDLバリアントの新種がはやっているのを目にしている。これらのバリアントは、Bitdefender社の研究所が報告した悪評の高いTDL4マルウェアの、クローンになりそうだ。

 我々が目にした、TDLドロッパーの新しいバリアント(SHA1: abf99c02caa7bba786aecb18b314eac04373dc97)は、当社のHIPS技術(以下の画像をクリックすると拡大される)DeepGuardによって、顧客のマシン上で捉えられた。検知名から、当該バリアントはエクスプロイトキットを通じて配布されていることが分かる。

TDL4_clone_exploited_in_the_wild (295k image)

 昨年ESET社が、新しい技術を採用したTDL4バリアント(一部のアンチウィルスベンダーはPiharと呼んでいる)について言及した。新技術とは、HIPSを迂回するためのものと、プロセスの権限を上げて管理者としてのアクセス権限を得るためのものだ。我々が最近見たバリアントのドロッパーも、ESET社のブログの記事で述べられているものと同じ技術を使っているが、いくつかのマイナーな更新もなされている。

 要約:TDL4はMicrosoft Windowsのタスク スケジューラ サービスの脆弱性MS10-092を侵害して、マルウェアのプロセスの権限を上げて、ルートキットドライバを読み込む。新しいバリアントは、セキュリティ研究者のTavis Ormandy氏によって発見されたEPATHOBJの脆弱性CVE-2013-3660をかわりに侵害する。

TDL4_clone_ExploitingCVE_2013_3660 (30k image)

 新たなバリアントと、元からあるTDL4との特筆すべき違いの1つは、設定ファイルだ。これは、ドロッパーのリソース部に、RC4でエンコードされたデータとして埋め込まれている。

TDL4_clone_config_ini (6k image)

 これがCVE-2013-3660を侵害する最初のマルウェアファミリーということはほぼないが、マルウェアの作者がどれだけ早くエクスプロイトコードを一般に利用可能とするかを、はっきりと示している。今回の場合、エクスプロイトコードは3ヶ月前に公開された。

Post by — Wayne

ZeroAccessの防御を破る

2010年に初めて報告されたZeroAccessルートキットを使用することで、リモート攻撃者がユーザのコンピュータをハイジャックし、クリック詐欺とBitcoinマイニングを実行するボットネットにユーザを追加することができます。現在、ZeroAccessはユーザ環境で最も頻繁に検出されているマルウェアの1つです。

ZeroAccessの伝播戦略は、基本的にボットネットオペレータが、地下フォーラムでリクルートした「アフィリエイトパートナー」に配布をアウトソーシングするという驚くべきものです。アフィリエイトは、エクスプロイトキット経由、ファイル共有サービス上、スパム電子メールの添付ファイル形式、トロイの木馬ダウンローダのペイロードなど、複数の戦略をマルウェアの拡散に使用しています。配布方式の多様化により、ボットネットの地理的範囲を効果的に広げ、ユーザがZeroAccessマルウェアとの遭遇を回避することが難しくなっただけでなく、配布に使用されるチャネルが多岐に渡るため、マルウェアの拡散を抑制する取り組みが複雑になりました。

Google Earthで見るZeroAccessボットネットの地図


また、ZeroAccess開発者は長年にわたってルートキットを積極的に変更して分析と検出を混乱させ、アンチエミュレーションとアンチデバッギング、暗号化などの機能を組み込んできました。また、ボットネットオペレータと感染したコンピュータ間の通信をブロックできないように、高度なピア ツー ピア(P2P)コマンドと制御構造も導入されました。ZeroAccessの継続的な開発は否応なしに、マルウェアのエンジニアとアンチウイルス研究者の軍拡競争のようなものになっています。

ZeroAccessファイルが侵入してしまった場合(さらに初めて見つかった場合)、エフセキュアのディープガード・テクノロジの動作分析機能の出番です。マルウェアは技術的に洗練されているものの、どうしても無防備で脆弱性を伴う基本的な側面が1つあります。それは、マルウェアがコンピュータ上で実行する、悪質なアクションです。ディープガードは、ZeroAccessのルーチンに関する広範な研究結果に基づく検出ロジックを使用して、皮肉にも、マルウェアが自らを検出されないようとする試みを見分けることで、マルウェアを認識してブロックすることができます。

ZeroAccess亜種のケースで、ディープガードのプロアクティブな保護が実際に機能している様子を確認することができます。2013年1月22日の深夜にユーザ環境で発生した亜種を、サンプル1と呼びます。下記の図は、亜種が最初に発生したコンピュータによって報告された検出統計情報ですが、これからわかるように、ディープガードは製品において感染の試みを認識してブロックした最初のスキャンエンジンでした。その後まもなく、この特定のサンプルに関連した詳細情報でセキュリティクラウドがアップデートされ、続いて感染の試みを数件ブロックしました。それから24時間以内に、シグネチャ検出のアップデートがリリースされ、エフセキュア セキュリティ製品がシグネチャスキャンエンジンを使用してサンプル1を識別およびブロックしました。

ZeroAccessサンプル1の検出件数 2012年1月23〜25日


ディープガードの技術の詳細について、ホワイトペーパーをご用意しました。
ぜひこちらでご覧ください。

Android RATのオープンソース化で行きつく先は・・・


2011年に著名なBotであるZeuSのソースコードが流出したことは記憶に新しいです。その後、CitadelやKINSなどのBotの開発コミュニティは活性化し、サイバー犯罪に悪用される不正プログラムはより高度化したように思います。併せて、Malware as a Serviceの市場も拡大し、サイバー犯罪被害の増大に滑車を掛けました。(下図はCitadel Botnet Build Serviceの例)

citadel1

このような状況になった切っ掛けは、前述したソースコードの流出が要因の1つと考えられるわけですが、それが意図的であったかどうかは分かりません。しかし、結果として情報がオープンになったことで、それらの産業(?)は飛躍的に伸びたことは間違いなさそうです。
また、最初から不正プログラムをオープンソースとして配布したり、APIを公開するなどしコミュニティからアイデアを募ることで開発力を高めている例も少なくありません。

この流れはPCを対象としたマルウェアだけでなく、Androidにおいても幾つか確認されています。
例えば、AndroRatなどはその典型です。このRatはオープンソースとして配布されており、案の定、公開と同時に悪用が確認され、犯罪利用の増大が懸念されています。(下図はAndroRatのソースコードの一部)

androrat1

また、今後追加されるであろう機能についても注目されています。先ず、AndroRatの標準の機能においては、次のものがあります。
#他のRatでも確認できる標準的な機能を有しているように思います。
  • Get contacts (and all theirs informations)
  • Get call logs
  • Get all messages
  • Location by GPS/Network
  • Monitoring received messages in live
  • Monitoring phone state in live (call received, call sent, call missed..)
  • Take a picture from the camera
  • Stream sound from microphone (or other sources..)
  • Streaming video (for activity based client only)
  • Do a toast
  • Send a text message
  • Give call
  • Open an URL in the default browser
  • Do vibrate the phone
これに対し、他のオープンソースのAndroid Ratで追加が予定されていた機能として次のようなものがあります。これらのアイデアがAndroRatに取り込まれるかは分かりませんが、少なくともこういった機能を有するRATが登場する可能性はある、とは言えそうです。
#ちなみに、この開発プロジェクトは現在ストップしています。
  • Facebook Poster
  • Twitter Poster
  • Password Stealer 
  • Screenshot look
  • Root All Android Devices! (With 30 Working official verizon/at&t/sprint/Phonebooth ROMS)
  • Look At cam
  • LOAD ALARM
  • Time Changer
  • Text Reader
  • File Manager
この中で個人的に気になったのは、パスワード・スティーラーやスクリーンショットの閲覧、ルート化でしょうか。現在、Androidをはじめとしたスマートデバイスから、金融機関(銀行や証券会社など)を含め様々な取引きが可能です。この点を踏まえますと、上述の機能は非常に脅威です。
これらのアイデアが他のAndroidマルウェアにどの程度取り込まれるかは分かりません。しかし、Androidマルウェアのソースコードの公開により、この他にもサイバー犯罪の敷居を下げるような機能がが次々と登場するのは時間の問題かもしれません。(考え過ぎかもしれませんが。。。)
ちなみに、AndroRatはコンパイルサービスが確認されています。Androidマルウェアに関しても近い将来、本格的なMalware as a Serviceなどが提供されるようになるかもしれません。




バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード