エフセキュアブログ

仕組み を含む記事

拡散状況はどうなってるか

エフセキュアラボでは、「拡散状況」という言葉をよく使う。だが、拡散状況とは何なのか?
実行可能ファイルの拡散状況は、当社の顧客ベース全体でそのファイルが見つかった回数として定義される。悪意のある実行可能ファイルは、時間とともに希少な存在になっていく傾向があり、ほとんどが生まれてはすぐに消えていく。したがって、バイナリを目にした回数は、そのバイナリが怪しいものであるかどうかの目安となり得る。当社の保護技術はクラウドに接続しており、機能する仕組みの一部としてクラウドを利用しているため、拡散状況を数量的に把握しやすい。
悪意のある実行可能ファイルがなぜ希少なのかを理解するために、遠い過去へと旅してみよう。
Floppies
もちろん、これらのフロッピーの中に、核ミサイル発射のコードなど入っていない。

全文はBusiness Security Insider 日本語版で。

スキャンエンジンの現状はどうなってる?

 当社のスキャンエンジンはいかに動作するのか。シグニチャエンジンや他の種類のスキャンエンジンとの違いは何か。人々(技術ジャーナリストや製品レビューを行う人など)が頻繁にこのような質問を我々に投げかける。実際に、そうした質問を先週尋ねられたばかりだ。それなら、この話題について、深く掘り下げようではないか…。

 シグニチャベースのスキャンとは、対象のファイルを判定すべく、ファイル全体のハッシュやファイルの一部のハッシュ群をリストやデータベースに照らし合わせる動作を指す。1980年代、アンチウィルスはおおよそここから始まった。1990年代初頭に多様なマルウェアが出現し、シグニチャベースの手法からより複雑なファイルスキャンエンジンへの進化に拍車をかける触媒となった。

Brain. On a floppy.
1980年代における、新たなサンプルを受け取る方法

 エンドポイントの保護ソリューションには、ファイルスキャンエンジンが含まれる。しかし実際にはファイルのスキャンだけを行っているわけではない。メモリの断片やネットワークストリームといった、あらゆる種類の入力バッファがあればスキャンする。

 ファイルスキャンエンジンは非常に洗練されてきている。アーカイブをトラバースする仕組みを持ち、複数のファイルフォーマットを解析し、静的および動的な解凍や逆アセンブリを行い、スクリプトと実行形式のファイルの双方の実行をエミュレートする。現在の検知は実際のところでは複雑なコンピュータプログラムに過ぎず、クライアント上で直接的に複雑なサンプルの分析を行うように設計されている。最近の検知では、数千の、いや数十万のサンプルを捕捉するように設計されている。かつての日々の、サンプルごとにハッシュ1件というアプローチとは程遠い。

 ご想像のとおり、洗練された検知を構築するには時間を要する。最終的に顧客にリリースするまでに、アナリストはサンプルを収集して精査し、コードを書き、テストを行わなければならない。一方で、かなりシンプルなシグニチャベースの検知は、自動的に簡単に生成することが可能だ。新たなサンプルがやってくると、一連の静的および動的な分析ツールやルールエンジンにかけられる。判定をすばやく配信するためだ。

 それゆえに、新たな脅威が出現した場合、アナリストが適切な検知コードを書く作業を行っている間に、バックエンドの自動ツールが作動し、早期にサンプルをカバーする。今日ではソフトウェアが迅速かつ簡単にインターネット経由でハッシュを参照できるため、こうしたシンプルな検知はローカルのデータベースの更新の一部として配信されることさえない。このクラウド参照メカニズムは、脅威がいつ出現するかに関わらず、出現した脅威から非常に迅速に顧客を保護できるようなるという点でメリットがある。

しかし話はこれで終わらない

 最近のすべてのエンドポイント保護ソリューションでは、複数のメカニズムを用いて、顧客を継続的に保護する。今日のエンドポイント保護がどのように作用するかについて、以下に非常に簡単な概観を示す。

  1. URLのブロック。エクスプロイトキットや他の悪意あるコンテンツを保有するサイトにユーザが晒されないようにすれば、さらなる保護手段の必要性がなくなる。当社では、この大部分をURLおよびIPのレピュテーションクラウドへの問い合わせで実現している。スパムメールのブロックや、メールフィルタリングもここで行われている。
  2. エクスプロイトの検知。エクスプロイトキットを保有するサイトにユーザがどうにかして訪れた上に、脆弱性のあるソフトウェアを実行しているのなら、脆弱なソフトウェアを悪用しようとする試みは、当社のビヘイビア監視エンジンによってブロックされる。
  3. ネットワークスキャンとアクセス時のスキャン。ユーザがメール経由またはダウンロードで悪意あるファイルを受け取ったら、ネットワーク上で、またはディスク書き込み時にスキャンが行われる。ファイルに悪意があることが判明すると、ユーザのシステムから削除される(瞬時に、隔離するために)。
  4. ビヘイビアベースのブロック。仮にそうした悪意あるオブジェクトに対するファイルベースの検知が存在しないとしたら、ユーザは悪意あるドキュメントやスクリプトやプログラムを、開いたり実行するかもしれない。この時点で、悪意ある振る舞いは当社のビヘイビアエンジンによってブロックされ、またもやファイルが削除される。結局のところ、マルウェア配信メカニズムの大半はビヘイビアに基づき簡単にブロックされるのだ。ほとんどの場合、当社が新たな脅威を見つけたときには、それが用いているメカニズムに対応するロジックをすでに大昔に追加している。

 ディスクを研磨するかのように予定されたスキャンを夜実行する昔のアンチウィルスソフトウェアが、現在使われている最新世代のエンドポイント保護へと進化してきた。最新の脅威に対し、エンドポイントを保護する最善の方法の1つは、そもそも被害者と脅威が出会うのを回避することだ。これに失敗しても、複数方面からのアプローチを用いて攻撃の媒介をブロックすることで、その場で攻撃を阻止するための複数の機会があることになる。

 ファイルスキャンとは、「アンチウィルスベンダー」がエンドポイントの保護に用いている多数のメカニズムの中の1つに過ぎない。エクスプロイトの検知およびビヘイビアによるブロックの双方により、実際にあった攻撃の媒介からたびたび守ることができているため、わざわざ(たとえば静的なシグニチャなど)ファイルベースの検知を追加しないことも多い。そして覚えておいて頂きたい。1日の終わりに、常に我々は現実世界の脅威に対して当社の保護コンポーネントの試験を行っている。製品の個別の部分だけでなく、製品全体を用いてだ。

PowerShellを悪用したマルウェアが徐々に増加の予感!?

侵入後にPowerShellを悪用する事例が多く聞かれるようになりましたが、マルウェアの配送(メール、ウェブ経由)の際にも利用されているケースが出てきています。
まだ、多くは確認できていませんが、攻撃者にとって有用であることを考慮しますと、徐々に増加するものと予想されます。
現在のところ、その特性上のせいかウイルス対策ソフトによる検知率は芳しくありません。

下図のケースでは、ワードファイルを装ったショートカットファイルに細工が施されたもので、PowerShellを利用して外部の悪性サイトからマルウェアをダウンロードする仕組みになっています。

shortcut with powershell

その他では、XLSファイルにPowerShellが埋め込まれているものを確認しています。
Windows 7 から標準搭載されているPowerShellは大変便利な拡張可能なシェルです。しかし、それ故に悪用も容易である事は想像に難くありません。
その点を考慮してかはわかりませんが、スクリプト・ファイル(.ps1拡張子)の実行はWindowsの標準設定では制限されています。
しかし、安心はできません。実は、以前から既に回避策は多数報告されています。これらの現状に鑑みますと、今後を見据えての対策を検討しておきたいところです。

参考URL:
15 Ways to Bypass the PowerShell Execution Policy
https://blog.netspi.com/15-ways-to-bypass-the-powershell-execution-policy/


なぜマイクロソフトはサイバー攻撃に弱いのか?

脆弱性が見つかるたびに、マイクロソフトはセキュリティを強化し進化を遂げてきました。その対策が破られると、さらにセキュリティを強化して進化します。
しかし逆の見方をすればセキュリティを強化しても破られている、と言うこともできます。

マイクロソフトは、セキュリティ開発ライフサイクル(SDL)という、理路整然とした仕組みを開発体制に組み込んでいるようでして、これを読む限りでは攻撃者が付け入る隙はなさそうですが、残念ながらどこかしらから破られているのは事実です。

様々な大人の事情があるのでしょうが、「どのように破られるのか」の事情の一端をうかがい知るための一つの切り口として、技術者向けにはなりますが、破られる仕組みをアセンブリレベルで体験していただく企画をCodeIQの中で数ヶ月前に始めてみました。

MsIsVulnerable

マイクロソフト製品にはデフォルトでセキュリティのための仕組みが組み込まれますが、それらをいかに破ることができるか(できたか)を体験いただけるかと思います。(中にはSDL以前の話もあります。)

GameOver Zeus:コンピュータには望ましくないタイプのゲーム

『Team Fortress 2』と『Doom』は空前の人気を誇るPC用ゲームですが、GameOver Zeusはオンラインで購入できるゲームでもなければ、みなさんが進んでコンピュータにダウンロードするようなゲームでもありません。
 
GameOver Zeusとは?
 
以前、インターネットバンキングを狙う「トロイの木馬」について述べましたが、2012年に最初の感染が確認されたGameOver Zeus、すなわち「トロイの木馬」型のGOZほど、ユーザにとって有害なものはありません。GameOver Zeusは、感染したコンピュータからインターネットバンキングの認証情報を盗み出すように設計されており、海外にある犯罪者の口座へ電子送金します。伝えられるところによると、このプログラムはロシアのハッカー、エフゲニー・ボガチェフが作成したもので、世界中のコンピュータに植えつけられました。そして感染したコンピュータのネットワークすなわちボットを構築し、彼の犯罪組織がどこからでも制御できるようにしたのです。
 
GOZは主にスパムメールやフィッシングメールを通じて拡散します。これまで、人々から何億ドルも騙し取ったとみられ、さらに被害は拡大する見込みです。
 
話はそれだけにとどまりません。GameOver Zeusは異種のトロイの木馬を取り込むために、ハッカーが書き換えることもできるのです。その1つがCryptoLockerと呼ばれるランサムウェアで、ユーザがハッカーに身代金を支払うまで、すべてのファイルを暗号化して重要なファイルのほとんどを利用不能にする、大変な被害をもたらすマルウェアです。
 
2014年6月、FBI、欧州刑事警察機構(Europol)、英国国家犯罪対策庁(NCA)は、世界中の様々なセキュリティ企業や学術研究者らと緊密に連携して、「Operation Tovar」というプログラムのもと、対策に取り組んでいることを明らかにしました。この取り組みは、トロイの木馬を拡散しコンピュータに感染させるシステムを一時的に破壊し、その間、他のコンピュータが感染しないようにするものです。しかし、すでに感染したコンピュータには依然としてリスクが残っており、危険にさらされたままです。
 
次に起こる事は何でしょうか。
 
GameOver Zeusボットネットの破壊は、様々な意味で大きな成功となりましたが、これで終わったわけではありません。当社のセキュリティ・アドバイザーを務めるショーン・サリバンは、この一時的な破壊は完全に撲滅したというわけではないため、危険が実際には取り払われていないと懸念を表しています。
 
「ボガチェフが逮捕されていない現在、GameOver Zeusはいまだに大きな脅威で、さらに危険なものへと進化していくでしょう。ハッカーは、トロイの木馬の新しいバージョンのプログラムを簡単に作成して、身代金が支払われなかったり、当局が介入を試みたりした場合に、コンピュータ上のすべてのファイルを破壊するような『自己破壊』コマンドを起動させることができるのです。」
 
私たちがデジタルフリーダムを守るためにできることは何でしょうか。
  • 悪意のあるスパムメールやフィッシングを警戒 ― 特に何か要求した場合を除いて、Eメールの添付ファイルを決して開かない。
  • Eメールの添付ファイルを注意深く確認し、自動的に実行されるようなファイル(一般的にはファイル名の終わりが「.exe」)は、決して開かない。
  • インターネット セキュリティ ソリューションの環境を整え、常に最新の状態に維持する。
  • Windowsのオペレーティングシステムとインターネットブラウザのプラグインを常に最新版に維持する。
  • すべての個人用ファイルを定期的にバックアップする。
  • トロイの木馬GameOver Zeusに感染していないか確認するためにコンピュータを必ずチェックする。
 
この強力なトロイの木馬の仕組みや拡散方法の詳細については、この動画をご覧下さい。




>>原文へのリンク

Mayhemに首を突っ込む

 ここ1年で、Linuxサーバを標的にしたマルウェアが大きなニュースとなることが増えてきた。本記事では、LinuxとFreeBSDのサーバを標的とした、高度かつ多目的なあるマルウェアの動作について、調査報告を行う。当社ではこの動作の核となるマルウェアファミリーをGalacticMayhemと命名した。この名前は一部のC&CサーバのURLをもとにしている。Yandexの研究者チームによって報告されたものと同じマルウェアファミリーである。

概要

 サーバへのMayhemの感染は、PHPのドロッパースクリプトから始まる。このスクリプトの役割は、悪意のあるELF共有オブジェクトファイルをドロップし実行することだ。ドロップされたバイナリの名前の多くはlibworker.soだ。しかし我々の調査では、当該バイナリがatom-aggregator.soまたはrss-aggr.soとなっているような該当しないケースもあった。ドロッパースクリプトは常に32ビットと64ビットの両バージョンのマルウェアを含む。この2つは同一の機能と設定を持つ。

 ドロッパースクリプトはまず、実行中の/usr/bin/hostプロセスをすべてkillする。続いてホストが32ビットか64ビットか、またLinuxかFreeBSDかを判定する。スクリプトはさらにホストのアーキテクチャに合ったバイナリを選び、OSを考慮してELFヘッダを調整し、最後にバイナリをディスクに書き込む。ドロッパーはまた、1.shという名前のシェルスクリプトもディスクに書き込む。このシェルスクリプトは、クリーンアップおよびマルウェアを実行する役割を持っている。マルウェアの実行は、いわゆる「LD_PRELOAD」テクニックを使って実現する。ドロップされたバイナリへのパスを環境変数「LD_PRELOAD」に設定するのだ。次に、実行ファイル/usr/bin/hostを実行する。最終的に/usr/bin/hostによって呼び出されるexitファンクションをフックすることで、OSのローダーは悪意のあるバイナリをロードするようになっている。/usr/bin/hostがいったんexitを呼び出すと、実行が悪意のあるバイナリへと移る。

 我々の調査では、これまでのところ47通りの異なるMayhemのサンプルが明らかになった。こうしたサンプル群のうち最初期のものは少なくとも半年は前のもので、最新のものは1週間以内の可能性がある。サンプルの分析から、Mayhemは開発の最中に3段階の主要なイテレーションを経てきたことは明らかだ。イテレーションごとにマルウェアは次第に複雑さと洗練度を増してきた。加えて、より細かいインクリメンタルな更新が観測されている。これはマルウェアファミリーMayhemが活発に開発中であることを示す。以降の記事では、Mayhemの最新かつもっとも機能が豊富なイテレーションに焦点を合わせる。

 マルウェアMayhemは、高度にモジュール化した設計になっている。Mayhemは1つのメインコンポーネントと複数の任意に読み込まれるモジュールから構成される。メインコンポーネントは、モジュールのロードおよびアンロードや実行はもちろん、C&Cサーバとの通信も担っている。また、モジュール自身やモジュールが使用する他のファイルを格納するために、暗号化した隠しファイルシステムを用いている。このファイルシステムはディスク上に保存される。マルウェアの設定データの1つがそのファイル名を指定している。大半のケースではファイルの名前は.sd0となっている。しかしながら、当社が最近観測したところでは、マルウェアの作者はファイル名を.cachesに変更している。おそらく、隠しファイルシステムのファイル名が複数の情報源により公表され、感染したシステムを検索するために利用されるようになったことに対応したのだろう。重ねて言うが、当該マルウェアが活発に開発中なのは明らかだ。注目すべきは、隠しファイルシステムのファイルサイズもマルウェアの設定データで指定されており、我々が観測したすべてのケースでちょうど12MBになっている点だ。

 マルウェアMayhemは、特別に作られたHTTP postリクエストを用いてC&Cサーバと通信する。このリクエストのヘッダは非常に独特で、「Host」「Pragma」「Content-Length」という特定の3つのフィールドしか含まれていない。この中の「Pragma」フィールドの値は常に「1337」である。加えて、HTTPのバージョンは常に1.0を指定している。マルウェアからC&Cサーバへのリクエストの例を以下に挙げる。

Packet capture of malware communicating with C&C

 以上のように、実際のリクエストのボディは、コマンドやメッセージを指定する1行以上の行から構成される。これらの行は常にメッセージの種別を示す単一の文字で始まっており、カンマ区切りのパラメータのリストが続く。メッセージの種別により、ファイルの送受信、ジョブの開始や終了、モジュールのロードや更新、C&Cサーバへのマルウェアの状況の通知といったことを可能にする。

 感染と設定が終わると、マルウェアは設定データ内にハードコーディングされているC&Cサーバに対し、リクエストを送信しようと試みる。このリクエストには、マルウェアが動作しているホストのシステムや環境についての情報が含まれている。マルウェアはC&Cサーバから条件を満たすリプライをひとたび受け取ると、現在のステータスを報告するC&Cサーバに対し、定期的にリクエストを送信するように戻る。もしそのC&Cサーバが現在これといったアクティビティに参加していない場合、スリープして後でpingするような指示をマルウェアに応答する。

 C&Cサーバは、新たなジョブをマルウェアに応答することもある。今回のケースでは、C&Cサーバは最初にマルウェアに対しロードするモジュールを指示する。同様に、ロードするモジュールのためのルールファイルやパスワードリストのような、追加のファイルも任意に指示する。この場合、マルウェアはまずは隠しファイルシステムを検索して、指定されたモジュールを探す。見つかったら、モジュールのCRC-32チェックサムをC&Cサーバに返す。次にC&Cサーバは、見つかったモジュールが最新版かどうか、あるいはマルウェアはC&Cサーバ上の新たなバージョンを要求すべきなのかをマルウェアに通知する。見つかったモジュールが古いバージョンであったり、モジュールが見つからなかった場合、マルウェアはC&Cサーバにモジュールを要求する。モジュールはHTTPレスポンス中にbase64エンコードされたデータとして返される。

 モジュールを取得したら、マルウェアのメインコンポーネントはモジュールを読み込み、エントリーポイントファンクションを呼び出す。このエントリーポイントファンクションはさらに設定を行い、おそらく隠しファイルシステムやC&Cサーバにある追加のファイルを要求する。また、このファンクションは特定の状況下でメインコンポーネントによって呼び出される1~4つのコールバックファンクションを登録する。これこそ、モジュールの主機能が実行される仕組みだ。

 モジュールの読み込みが成功した後、C&Cサーバはメインコンポーネントに対し新たなジョブを開始するように指示することがある。このジョブの結果、メインコンポーネントはオペレーターが指定した数のスレッドを作成する。各スレッドは、それぞれ読み込まれたモジュールの機能を実行する。最後にC&Cサーバはマルウェアに対し、実行するモジュールへの引数になる文字列を送信し始める。こうした引数の文字列の内容はロードしたモジュールによって異なるが、通常は少なくとも悪意のあるアクティビティの標的となるドメインやURLが含まれる。

モジュール群

 当社の研究の最中に、現実の環境で、マルウェアMayhemによって使用される11個の異なるモジュールに遭遇した。これらの大半において、複数の異なるバージョンを観測した。これは明らかに、モジュールもまた活発に開発中であることを示している。

 遭遇したモジュールは以下の通り。


  • bruteforce.so - WordPressとJoomlaのサイトのログイン情報を総当たりで見つけるために使用する
  • bruteforceng.so - 上と同様だが、HTTPSと正規表現をサポートしており、高度な設定ができる
  • cmsurls.so - WordPressのログインページを特定するために使用する
  • crawler.so - WordPressとJoomlaのサイトを見つけるためWebサイトをクロールするのに使用する
  • crawlerng.so - 上記の改良バージョン。HTTPSと正規表現をサポートし、任意の正規表現にマッチするWebページを発見できる
  • crawlerip.so - 上記と同様だが、ドメインの代わりに標的のIPアドレスリストを受け取る
  • ftpbrute.so - FTPサーバのログイン情報を総当たりで見つけるために使用する
  • rfiscan.so - RFIの脆弱性を持つWebサイトの検索に使用する
  • wpenum.so - WordPressのサイトのユーザを列挙するために使用する
  • opendns.so - 公開されている再帰的なDNSリゾルバを検索するために使用する
  • heartbleed.so - Heartbleedという脆弱性(CVE-2014-0160)を露呈しているサーバを特定するために使用する


 このポストでは個々のモジュールについて非常に詳細なところまで掘り下げることはしないが、分かったことのうち興味深いものを一部挙げる。

bruteforce.so

 bruteforce.soモジュールは、現在飛び抜けて活発に使用されているモジュールである(これについては後ほど詳細に述べる)。機能面では非常にシンプルだ。WordPressまたはJoomlaのサイトのログインページを指し示す標的となるURL、ユーザ名を並べたファイル、パスワードを並べたファイルを取得する。続いて、ユーザ名とパスワードの可能な組み合わせをすべて用いてログインを試みる。

bruteforceng.so

 このモジュールはbruteforce.soモジュールの進化したバージョンで、HTTPSと正規表現のサポートが加えられている。入力として、標的のURL、ユーザ名のファイル、パスワードのファイルを取得するのに加えて、ルールファイルも必要とする。ルールファイルは、標的のログインインターフェイスを指定するために使われる。したがって、このモジュールを使用すれば、どのWebベースのインターフェイスのログイン情報でも総当たりで見つけることができる。このモジュールは主にWordPressとJoomlaのサイトのログイン情報を総当たりするために使われているのを我々は観測してきた。しかし、たとえばcPanel Web Host Managerのサイトなど、他の種類のサイトに対しても使われていると信じるに足る理由がある。

 興味深いことには、bruteforce.soおよびbruteforceng.soの両モジュールの新バージョンを最近になって我々は発見した。古いバージョンでは、ユーザ名のファイル内の全ユーザ名をすべての標的に対して試していたが、新しいバージョンでは使用すべき1つのユーザ名をC&Cサーバが指定できるようになっている。C&Cサーバが標的のURLを指定するために使うコマンドの文字列は、「Q,target」(targetはURL)である。しかし新しいバージョンのコマンドは、「Q,target;username」という、より長いコマンド文字列をサポートしている。セミコロンと別のパラメータが追加されたことに注意してほしい。この追加されたパラメータはユーザ名を1つ指定でき、パスワードファイル内にあるすべてのパスワードと結びつけられる。しかしながら、ユーザ名の文字列が「no_matches」だったり、2番目のパラメータが指定されていない場合には、モジュールは独立したユーザ名のファイル内の全パスワードを試すという古い方法へフォールバックする。

crawlerng.so

 crawlerng.soはWebサイトをクロールするのに使われるモジュールだ。引数として、正規表現を含むファイルを取る。次に当該モジュールは、こうした正規表現にマッチするコンテンツを求めて、標的のドメインを検索する。これは主に、WordPressおよびJoomlaのログインページを特定するために使われているようだ。ただ、正規表現で指定するということから、モジュールは本質的に任意の種類のページを特定するように指示できる。例として、当社はPhpMyAdmin、DirectAdmin、Drupalのログインページを特定するために使われるcrawlerng.soモジュールを観測した。一部のケースでは、モジュールは特定のキーワード、たとえば薬局に関連するキーワードにマッチするコンテンツを提供するWebサイトを見つけるために使われていた。我々が観測したケースでは、マルウェアのオペレーターが工夫をこらし、crawlerng.soモジュールでローカルファイルインクルードの脆弱性を探すものさえあった。観測したルールセットでもっとも多かったのは、別のHTTP、HTTPS、FTPサイトへ移動するリンクも検索するようにモジュールに指示するものだ。このやり方で、モジュールが新しい標的を見つけてクロールを続けるようになる。

Screencapture of LFI rule file
ローカルファイルインクルードの脆弱性を探すために使われるルールの一部

opendns.so

 このモジュールは、DNS amp攻撃で使われ得る、公開されている再帰的なDNSリゾルバを検索するために使用される。引数としてIPアドレスレンジと、サイズのしきい値を取る。レンジ内の全IPを1つずつ繰り返し、53番ポートへの接続を試みる。53番ポートへの接続が成功すると、拡張的なDNSの「DNSSEC OK」ビットをセットして、「ripe.net」ドメインのANYレコードを問い合わせる再帰的なDNSリクエストを送信する。標的がオープンかつ再帰的なDNSリゾルバを起動していたら、大きなDNSの応答を返すことになる。リプライのサイズが、事前にセットしたサイズのしきい値と比較して大きかったら、C&CサーバにIPアドレスが報告される。

Packet capture of the DNS request
当該モジュールによって送信されるDNSリクエストのパケットキャプチャ

heartbleed.so

 このモジュールは標的のドメインがHeartbleed脆弱性に対して脆弱かどうかを特定しようとする。これは標的に初めて接続するときに行なわれ、TLSv1.1のClientHelloパケットを送信し、さらにペイロードサイズが64KB(0xFFFFバイト)だが実際のペイロードは3バイトのハートビートリクエストを送る。

TLSv1.1 ClientHello packet
Malicious heartbeat request
ClientHelloパケットのペイロード(上)と悪意あるハートビートリクエスト

 最後に、サーバのリプライのペイロードのサイズが確認される。これが3バイトよりも長いなら、サーバはおそらく脆弱で、そのことがC&Cサーバに報告される。

Code that checks the server reply
サーバの応答を確認するコード

現在の活動

 当社の調査により、マルウェアファミリーMayhemによって使われているC&Cドメインが19個明らかになった。そのうち7つは現在もアクティブである。現在の活動の大半はWordPressおよびJoomlaのログイン情報を総当たりで取得することに関連している。ただ、FTPのログイン情報も総当たりで見つけることや、同様にWordPressとJoomlaのログインページを検索しながらドメインをクロールすることも観測している。我々は別のモジュールがある時点で現実に使われた証拠も持っている。

 総当たりの活動を観測したためだが、これは非常に日和見的に見える。マルウェアのオペレーターはボリュームに焦点を合わせているようだ。共通かつ脆弱な認証情報を使っているサイトが十分に存在することをあてにしている。アクティブなC&Cサーバ群から標的になったURLを1週間分記録したところ、我々は35万超のユニークな標的を特定した。このサーバ群のなかの1台のC&Cサーバが、21万を超えるユニークな標的に関与していた。これはマルウェアの単一のインスタンスに与えられる標的に過ぎず、全体的な数はおそらくずっと大きいものになることに注目すべきだ。

 標的のドメインに関する分析に基づくと、マルウェアのオペレーターは誰かあるいは何かを特別に標的としているとは思えない。むしろ、単純に低い位置にあるWebの果実を探しているだけのように感じる。以下のような、標的のドメインの地理的な分布によって、これはさらに支持される。上位10か国に中国がいないのは注目に値するが、マルウェアのオペレーター側が意図的に選定したというより、例外的なものと思う。

Piechart showing geographic distribution of target domains

結論

 マルウェアのオペレーターはMayhemを主に偵察ツールとして使い、簡単に侵害できるサーバへアクセスできるようにして、後にもっと洗練された攻撃のベースとして使えるようにしていると、当社では考えている。たとえばオペレーターは、最初にWordPressのサイトを見つけるためにcrawlerng.soモジュールを用い、続いてwpenum.soモジュールを使ってこうしたサイトから潜在的な被害者のユーザ名を列挙しているかもしれない。ユーザ名のリストを持っていれば、オペレーターはこうしたサイトへのアクセスを得ようとしてbruteforce.soモジュールに取り掛かることができる。オペレーターがアクセスできるようになれば、サイトをMayhemで感染させてボットネットを拡大したり、あるいは他の操作を組み込むために利用することもできる。

 マルウェアファミリーMayhemは、LinuxおよびFreeBSDのサーバ上で動作する、高度で非常に汎用的な脅威である。明らかに活発に開発がなされており、オペレーターは研究者やサーバ管理者の尽力を盛んに無効にしようとしている。また感染するホストが、低速のADSLの背後にあるごく普通の家庭用PCではなく、大容量、広帯域のサーバであることを考慮すると、運用の規模も重要である。

サンプルのハッシュ

 バージョン1

  • 0f1c66c3bc54c45b1d492565970d51a3c83a582d
  • 5ddebe39bdd26cf2aee202bd91d826979595784a
  • 6c17115f8a68eb89650a4defd101663cacb997a1


 バージョン2

  • 7204fff9953d95e600eaa2c15e39cda460953496
  • 772eb8512d054355d675917aed30ceb41f45fba9


 バージョン3(最新)

  • 1bc66930597a169a240deed9c07fe01d1faec0ff
  • 4f48391fc98a493906c41da40fe708f39969d7b7
  • 6405e0093e5942eed98ec6bbcee917af2b9dbc45
  • 6992ed4a10da4f4b0eae066d07e45492f355f242
  • 71c603c3dbf2b283ab2ee2ae1f95dcaf335b3fce
  • 7b89f0615970d2a43b11fd7158ee36a5df93abc8
  • 90ffb5d131f6db224f41508db04dc0de7affda88
  • 9c7472b3774e0ec60d7b5a417e753882ab566f8d
  • a17cb6bbe3c8474c10fdbe8ddfb29efe9c5942c8
  • ab8f3e01451f31796f378b9581e629d0916ac5a5
  • c0b32efc8f7e1af66086b2adfff07e8cc5dd1a62
  • c5d3ea21967bbe6892ceb7f1c3f57d59576e8ee6
  • cb7a758fe2680a6082d14c8f9d93ab8c9d6d30b0
  • e7ff524f5ae35a16dcbbc8fcf078949fcf8d45b0
  • f73981df40e732a682b2d2ccdcb92b07185a9f47
  • fa2763b3bd5592976f259baf0ddb98c722c07656
  • fd8d1519078d263cce056f16b4929d62e0da992a


 当社ではこれらをBackdoor:Linux/GalacticMayhem.Aとして検知する。

 調査執筆:Artturi Lehtio(@lehtior2

筆者注記

 筆者はフィンランドのヘルシンキにあるアールト大学の、情報科学の学生である。今春、同大で提供され、エフセキュアが運営したマルウェア分析の講義に出席した後、幸運なことに同社の夏季インターンシップに参加した。1か月前、私は新たなタスク「Linuxマルウェアについて興味深く見える事項を見つけて、それについてブログの記事を書くことをゴールとする」を与えられた。この記事とそれを裏付ける調査は、Linuxマルウェアの謎めいた世界への私の冒険の結果である。

サイバー戦争をめぐる3つの疑問

エフセキュアでセキュリティアドバイザーを務めるショーン・サリバンが最近私にこう言いました。「私たちにはサイバー戦争をイメージする想像力が足りない。この戦争は爆発的なものではなく、クライムウェアのビジネスが枯渇した誰かが新しいビジネスを探している、といったものではないだろうか」
 
この1週間、エフセキュアのセキュリティ研究所は、エネルギー業界をねらうハッキンググループ「Energetic Bear」やHavexからの攻撃に目を光らせてきました。今はウクライナやポーランド、トルコ、ロシアを標的とするCosmicDukeに注目しています。
 
こうした攻撃の最終目的はスパイ活動、つまり買い手(もしかすると、どこかの政府)のための情報収集にあるようです。しかし、その手法は、イランの核戦力を低下させるために開発されたStuxnetのように多大な工数を投じた緻密なものではありません。
 
ショーンはこう言います。「これらはもっともらしい反証に頼っており、利用しているリソースはサイバー攻撃専用ではないようだ。これは、従来のクライムウェアで用いられるモジュール手法に匹敵する」
 
エフセキュアのシニアリサーチャーで、以前にCosmicDukeの分析についての記事を投稿したことがあるティモ・ヒルボネンはこう話します。「一つの要素だけ見れば、まるでクライムウェアのようだが、違う角度から見れば、『こんな標的をねらったものは今まで見たことがない』と言うだろうね」
 
「サイバー戦争に関わるものは何でもピカピカで真新しい、というのがこれまでの常識だった」とショーンは言います。けれども、今回の攻撃は「セミプロ」の仕事のようです。
 
こうした攻撃をきっかけに、ショーンは以下の3つの疑問について考えています。
 
国が支援しているというのはどういう意味か?
 
ショーンは言います。「サイバー戦争は現実の縮図だ。トップダウンで機能する大規模なサイバー情報インフラを整備している国もあれば、既存のクライムウェアに基づく既存のテクノロジーを取り入れて、草の根レベルの方法をとっているような国もある」
 
国家中心のキャンペーンでは、必ずしも国の支援を受けていないマルウェアを利用しているのではないか、とショーンは考えています。「黒い覆面をして記章を外した部隊を半島に送り込むような国は、同じようなことをオンラインでもやるかもしれない」
 
機会を逃さない実際的な政府は、人々にお金を払って、国際スパイ用のテクノロジーを取り入れているかもしれません。
 
こうした攻撃の最終目的は孫子が『兵法』で述べた名言、「敵を知れ」に通じるのではないかとショーンは言います。

情報で武装した国は、ソフトパワーを駆使して同盟国同士を対立させ、経済制裁のような報復を制止することができます。
 
APT(Advanced Persistent Threat)攻撃とは何か?

 
APT攻撃はStuxnetほど複雑なやり方ではありません。複雑である必要がないのです。
 
CosmicDuke(2001年から存在しているマルウェアの変種)は標的をだまして、エクスプロイトを含むPDFファイル、もしくは文書ファイルや画像ファイルのようなファイル名を付けたWindowsの実行ファイルを開かせ、感染させる仕組みです。
 
標的がこうした悪質なファイルを開くと、CosmicDukeがシステムに侵入し、キーロガーやクリップボードスチーラー、スクリーンキャプチャ、パスワードスチーラーでさまざまなチャットやメール、Webブラウザの情報を収集し始めます。またCosmicDukeには、システム上のファイル情報を収集し、暗号化証明書やその秘密鍵をエクスポートする機能もあります。収集した情報はFTPでリモートサーバに送信されます。CosmicDukeはシステムの情報を盗むだけでなく、攻撃者が他のマルウェアをシステム上にダウンロードし、実行できるようにします。ごくありふれたものです。
 
クライムウェアとの闘いは犯罪者をサイバースパイに駆り立てているのでしょうか?サイバー犯罪との闘いは逆効果なのでしょうか?
 
「なかには、政府のため、自分のために働いている奴らがいるのかもしれない」とショーンは言います。
 
サイバー犯罪の国際戦争で勝利の波に乗れば、犯罪者たちを支援する新たな買い手が現れるかもしれません。
 
ショーンは続けます。「このような人材はおのずと育つ。いまや、国外の人材を活用する政府もある。警察はクライムウェアを追っているが、クライムウェアはなくならない。これは金になるビジネスで、金を求める人材は後を絶たない」
 
このような攻撃はあらゆる人を標的にしていると、ショーンは確信しています。
 
「システム管理者を追うのはNSA(国家安全保障局)だけではなく、重要なシステムに何らかのアクセス権限を持つ人なら、誰もが標的になりえる。落ち着いて、守りを固めなければならない」
 
予防はどんなときも最善策です。企業各社はこのことを認識してくれるだろう、とショーンは期待しています。
 
「ITマネージャの皆さん、必要なセキュリティ予算を要求し、勝ち取りましょう。コスト優先のセキュリティ対策が間違った経営判断であるという証拠が次々に明らかになっているのです」
 
各国の政府が日和見的なマルウェア作成者と手を組めば、リスクは急激に増大するでしょう。
 
ショーンは次のように問いかけています。「現在はクライムウェアのボットネット、将来は国家安全保障が悪夢?こんな奴らが脱獄したらどうなるでしょう?彼らはこんな人材を放っておかないでしょう」
 
Sandra

>>原文へのリンク

中小企業向けのサイバーセキュリティ ストレステスト

中小企業は攻撃を受けやすい

中小企業は経済の屋台骨であり、重要な原動力ですが、サイバーセキュリティの面では依然として最大の弱点になっています。なぜなら、中小企業の多くは、自社のビジネスを守るための時間やスタッフ、専門知識、ITリソースを持ち合わせていないからです。中小企業のオーナーはたいてい、自社のシステムやデータはハッカーにとってほとんど価値がないから標的にはならないだろうと思い込んでいますが、中小企業の財務会計、従業員、顧客、取引先の情報はいずれもハッカーにとって大きな価値を持っています。こうした情報がどれか一つでも流出すると、壊滅的な被害をもたらし、企業の存続を左右するおそれもあります。

自社のサイバーリスクを評価


自社がサイバー攻撃の脅威にどの程度さらされているかを評価するには、エフセキュアが考案した中小企業向けのサイバーセキュリティ ストレステストが役立ちます。
以下の質問に答えて、自社の弱点を把握しましょう。

1. 社内にIT専任のスタッフまたはチームを置いていますか?それともIT関連業務をアウトソーシングしていますか?

a. 経験豊かなIT専任のスタッフまたはチームを社内に置いている
b. IT・セキュリティ関連業務を担当する社員がいるが、専任ではない
c. IT・セキュリティ関連業務は、外部業者やマネージドサービスプロバイダ(MSP)、付加価値リセラー(VAR)にアウトソーシングしている
d. IT担当者はいない。社員1人ひとりが自分の利用する機器を管理している
e. 分からない

この点が重要な理由:
サイバーセキュリティは目まぐるしく変化する複雑な問題であり、国、そしてあらゆる企業にとって難しい課題です。最近のセキュリティソリューションを利用すれば、個人や企業を保護するためのさまざまなプロセスを自動化することができますが、IT専任のスタッフやチーム、もしくは付加価値リセラーやマネージドサービスプロバイダの助けを借りたほうが良いでしょう。こうした専門家なら、ソフトウェアを適切に展開し、セキュリティ問題にすばやく対応することができます。

2. どのようなセキュリティソフトウェアを社内で利用していますか?

a. ライセンス契約した企業向けのセキュリティソフトウェア
b. ライセンス契約した個人向けのセキュリティソフトウェア
c. サービス契約したセキュリティソフトウェア
d. セキュリティソフトウェアの管理を付加価値リセラーやマネージドサービスプロバイダにアウトソーシング
e. 無料のセキュリティソフトウェアを利用している
f. セキュリティソフトウェアは利用していない
g. 何を利用しているか分からない

この点が重要な理由:中小企業のなかには、コンピュータに付属する無料のセキュリティソフトウェアや個人向けのセキュリティソフトウェアパッケージに頼っているところもあります。こうしたソフトウェアでも無いよりはましですが、企業用としては不十分です。しかも、企業ではさまざまな社員がさまざまな機器を利用しますから、会社全体を保護できるソリューションを整備することが重要になります。
中小企業には、セキュリティ関連業務を専門家にアウトソーシングすることを強くおすすめします。会社を守るための心配事は付加価値リセラーやマネージドサービスプロバイダに任せ、事業を成長させることに注力しましょう。
また、中小企業にはライセンス契約したソフトウェアよりSaaS型のセキュリティサービスがおすすめです。セキュリティサービスなら管理に手間がかからず、常に最新のソフトウェアを利用することができるからです。

3. 会社や社員個人はどのようなコンピュータ機器・通信機器を利用していますか?(該当するものをすべて選んでください)

a. デスクトップコンピュータ
b. ノートパソコン
c. 携帯電話
d. スマートフォン
e. タブレット型コンピュータ

この点が重要な理由:最近、社員はプライベートでも仕事でもさまざまな機器を駆使するようになってきました。これによって外部との接点が増え、ハッカーの攻撃にさらされるリスクも高まっています。だからこそ、デスクトップコンピュータからノートパソコン、タブレットやスマートフォンまで、社員が利用する機器をセキュリティプログラムでもれなく考慮し、保護することが重要になります。

4. 社員は業務上の情報にどうやってアクセスしていますか?

a. 業務用のコンピュータからしかアクセスしない。
b. 会社が支給した携帯端末からアクセスする。
c. 社員個人の機器(コンピュータや携帯端末など)からアクセスする。
d. 分からない。

この点が重要な理由:社員の業務用機器をすべて保護していても、個人の機器(保護されていない可能性が高い)から業務上の情報にアクセスする場合があります。

5. 社内でWi-Fiを利用してネットワークにアクセスしていますか?

a. はい
b. いいえ
c. 分からない
d. ワイヤレスネットワークは整備していない

この点が重要な理由:きちんと保護されていなければ、Wi-Fiも攻撃にさらされるおそれがあります。会社としてWi-Fiにまつわるリスクを把握し、セキュリティを確保する方法を理解することが非常に重要です。WPA2を利用して自社のネットワークを保護し、推測されにくいパスワードを設定してください。できれば、無線のログインメニューを独立させ、社内ネットワークへのログオンを追跡管理するとよいでしょう。そうすれば、業務用Wi-Fiネットワークの脅威を軽減するうえで役立ちます。

6. 社員は社外(自宅や他の事業所、空港やカフェといった公共の場など)からいつもWi-Fiに接続していますか?

a. はい
b. いいえ
c. 分からない

この点が重要な理由:公共のWi-Fi ホットスポットの多くはハッカーにとって格好の標的です。自宅のWi-Fi 環境を最高レベルのセキュリティ対策で保護している人もめったにいません。だからこそ、セキュリティソフトウェアで業務用の携帯端末を保護することが重要になります。

7. 会社として、明確なITセキュリティポリシーを整備していますか?


a. はい
b. いいえ
c. 分からない

8. ITセキュリティに関する社員教育を行っていますか?

a. はい
b. いいえ
c. 分からない

この点が重要な理由:
ソフトウェアと専門知識がなければ、会社を守ることはできません。サイバー犯罪との闘いにおける最大の弱点は、昔も今も人的要因(社員の危険なオンライン行動)です。この脅威を軽減するには、明確なポリシーを整備し、インターネットセキュリティに関する社員教育を徹底し、定期的な注意喚起や再教育を行うしかありません。

9. セキュリティソフトウェアを常に最新の状態にしておくために、どのような方法を取っていますか?


a. ソフトウェアを自動更新する仕組みを整備している
b. 社内のITチームがシステムを定期的に更新し、常に最新の状態にしている
c. ソフトウェアを常に更新しておく仕組みがない
d. 分からない

10. 会社や社員個人が利用するアプリやソフトウェアを常に最新の状態にしておくために、どのような方法を取っていますか?

a. 社内のITチームがシステムを定期的に更新し、常に最新の状態にしている
b. ソフトウェアを常に更新しておく仕組みがない
c. 分からない

この点が重要な理由:
ソフトウェアの欠陥をついて、ハッカーが各種機器に侵入し、重要な情報にアクセスするというのが最も多いパターンです。欠陥が見つかると、ソフトウェアメーカーがその問題に気付いて修正プログラムを配布するまで、ハッカーがすかさず弱点につけ込んできます。会社や社員が利用するソフトウェアやアプリの更新が遅れると、脅威にさらされたままになり、ハッカーにたやすく侵入されてしまいます。
できれば、今回の質問に答えながら、自社のセキュリティ対策を見直し、会社の守りを固める方法を見つけてください。
費用や時間をそれほどかけなくても、十分なセキュリティ対策で大惨事を防ぐことができます。会社や社員を守れば、顧客や取引先を守るうえでも役立ち、業界や国全体の安全保障にもつながるでしょう。

最近気になるメモリ上の情報を狙ったPOSマルウェア

最近、BlackPOSなどのPOSマルウェアのニュースをよく目にします。
これらのマルウェアはMemory Scrapingという手法を利用していることで知られています。
端的に説明しますと、メモリ上に記録されている情報を窃取する手口で、Zbot、CitadelなどのBanking TrojanやKeyloggerなどでもしばしば利用されているものです。

参考URL:
Point-of-Sale and memory scrappers

メモリ上には、暗号化されているような機微情報(パスワードやカード情報とか)もクリアテキストで記録されていることが多々あります。例えば、Banking Trojanなどが狙うようなオンラインバンクのログオン情報であれば、大抵はウェブブラウザのプロセスのダンプを調べれば該当の情報が得られます。

bank_trojan

POSマルウェアの場合はクレジットカードやデビットカードの情報を窃取することが目的です。あるマルウェアの場合は、次ような正規表現を用いて情報を抜き出しています。
#これはそのままIDS、DLPなどのルールとして使えそうですが、パフォーマンスに影響しそうな長さですので少し工夫が必要です。

(((%?[Bb`]?)[0-9]{13,19}\^[A-Za-z\s]{0,26}/[A-Za-z\s]{0,26}\^(1[2-9])(0[1-9]|1[0-2])[0-9\s]{3,50}\?)[;\s]{1,3}([0-9]{13,19}=(1[2- 9])(0[1-9]|1[0-2])[0-9]{3,50}\?))

カードに関係する文字列:
  ・[0-9]{13,19} --- クレジットカード番号
  ・[A-Za-z\s]{0,26}/[A-Za-z\s]{0,26} --- カード名義
  ・(1[2-9])(0[1-9]|1[0-2]) --- YYMM(2012年〜2019年)
  ・[0-9\s]{3,50} --- CVC / CVV

このようにメモリへアクセスするための権限さえあれば比較的容易に情報を得ることができてしまいます。その点では、組み込みOSやファイルサーバなどでAdministrator権限などで動作しているシステムは要注意というわけです。
もっとも、このような権限で動作しているシステムは、他の攻撃に対してもリスクが高いことは言うまでもありませんが。。。

メモリ上の情報を狙った攻撃は、根本的な解決策が出てくるまでは暫く続くとみています。というのも、標的のシステムの環境がある程度限定されていますし、攻撃者は無理にマルウェアを作成しなくても実現可能な攻撃ですので、見えないところで被害が発生し続けるのではないか、と思いました。
また、日本での被害情報は今のところ耳にしていませんが、ちょうど4月にWindows XPのサポート切れですし、そろそろかなぁ、と勘ぐっています。POSシステムを狙った攻撃は2010年前後からですので、そろそろ日本国内のシステムを狙ってきてもよさそうな時期ですよね。

このような攻撃は、メモリ上の情報を暗号化する仕組みが標準となるような時代がこなければ無くならないかもしれませんね。もっとも、そのような技術が普及すると、フォレンジック解析者らも攻撃者と同じ悩みを持つことになるわけです。困りましたね。

最後にPOSマルウェアに対しての対策はこちらの情報が参考になりそうですのでご紹介しておきます。

参考URL:
What retailers need to learn from the Target breach to protect against similar attacks

POSシステムに限った話でもありませんので、参考になると思います。

雑文、失礼しました。


日本の安全保障を狙った攻撃の手口

先日から日本の安全保障に関する業務に携わっている方々に対してマルウェア付きのメールが届いているようですので、その手口を紹介します。

最初に、メールの添付ファイルとして「取材依頼書」というファイル名のzipファイルが届きます。
lnkmalware1

zipファイルを展開すると、テキストファイルへのショートカットが入っています。
lnkmalware2

プロパティを確認すると、確かにtxtファイルへのショートカットになっているように見えます
lnkmalware3

ところが、リンク先の欄を左にスクロールしていくと、別の文字列が出てきます。
lnkmalware4

本当のリンク先は%ComSpec% ...となっています。%ComSpec%というのはコマンドプロンプト(cmd.exe)を意味しますので、このリンク先の欄で攻撃者が指定した命令を実行させられてしまう、つまりは攻撃者にPCを乗っ取られてしまうことになります。
今回の事例では、もしショートカットをクリックしてしまうと、感染したPCのフォルダやファイルの情報を盗み出し、最終的にはPC内のファイルの内容を盗み出す仕組みになっておりました。

以上がショートカットを利用したマルウェアの手口ですが、皆さんに注意していただきのは、
人から送られてきたショートカットはクリックしてはいけない
ということに尽きます。
ショートカットは実行ファイル(exeファイル)と同じくらい危険だと思ってください。

このような手口は何かの脆弱性を攻撃しているわけではなく、ショートカットの”仕様”を利用したものですので、ウイルス認定することが難しく、多くのウイルス対策ソフトウェアでは検知できませんし、ふるまい検知型のウイルス対策ソフトでも検知することができませんでした。


さて、すでに多くの方はお気づきになっていると思いますが、日本語版のOSではショートカットのファイル名が文字化けしています。
そこで別の言語のOS上でもzipファイルを展開してみたので、結果を紹介して、文字化けの理由の回答とさせていただきます。

lnkmalware-jalnkmalware-zh



韓国へのワイパー攻撃の歴史

2013年3月20日 14時、韓国の放送局や銀行に対してサイバー攻撃と思われる事態が発生し、約32000台のマシンが攻撃の被害に遭ったと言われています。今回の攻撃に使用されたマルウェアに感染するとハードディスクの内容が消去され、OSが起動不能になる仕組みになっていました。実は韓国では似たような事件が2009年と2011年にも起こっています。ただ、過去2回の事例はDDoS攻撃を行った後に、証拠隠滅を目的としてハードディスクを消去したのではないかと言われているのに対し、今回はDDoS攻撃のようなことは確認されておりませんので犯人の意図は不明です。

参考までに、ハードディスク消去の手口という観点から過去2回の事例との違いを紹介します。事例はWindows XPのものです。
攻撃を受けた後のハードディスクの状態を色分けして表示していまして、だいたい以下のように分類しています。

赤色:文字列等、表示可能なデータ
青色:制御文字
黒色:その他のデータ
白色:0(NULL文字)
黄色:攻撃によって上書きされたデータ

2009年の事例
ディスクの先頭から1MBが意味のない文字列で上書きされます。先頭には「Memory of the Independent Day」というメッセージ、そのあとは「U」が連続して書き込まれます。
特定の拡張子のファイルが消去されますが、ドキュメント系のファイルが主な消去対象ですので、画像や実行ファイル等は生き残ります。
ディスクの先頭(MBR+α)が上書きされますのでOSの起動はできませんが、データ部分は生きていますので一部のデータを復旧することは可能です。

wiper2009image

2011年の事例
ディスクが0で上書きされます。片っ端から上書きしていくので、途中でOS自身が実行不能となりブルースクリーンになります。ここまでされるとデータの復旧は困難です。

wiper2011image

wiperbod2011

2013年の事例
ディスクの先頭が「PRINCPES」という文字列で上書きされ、VBRとデータ領域が一定間隔で「PRINCIPES」という文字列で上書きされます。暗い黄色の部分がMBRとVBRです。OSの起動はできませんが、運良く上書きされなかったデータは生きていますので復旧することは可能です。

wiper2013image

過去2回の犯人と今回の犯人が同一であろうとなかろうと、ディスクを消去するという点において手口が酷似していることは間違いないことから、少なくとも2013年の犯人は過去2回の事例を認識した上で攻撃をしているはずです。完全に修復不能にしようと思えばできたのにも関わらずそうしなかった。その理由を今後も継続調査していきます。

グリーティングカードを装った標的型メールに注意

グリーティングカードを装った標的型メールが複数確認されています。
実在するサービスなので、ついクリックしてしまいそうですのでご注意ください!

greeting_card

今回、確認したケースでは記載されたURLへアクセスしますと、CVE-2013-0422(Javaの脆弱性)を悪用する攻撃コードが実行される仕組みとなっていました。
Javaの脆弱性を狙った攻撃は今後も継続することが予想されますので、特に必要のないユーザはアンインストールしておいた方が妥当かもしれません。

ちなみに、ダウンロードされる攻撃コードはmetasploitにより作成された可能性があります。
metasploit用に開発された攻撃コードの多くは研究し尽くされていますので、標的型攻撃で利用されるのは珍しいケースだなぁ、と思いました。(広範囲に対しての攻撃だったのかもしれませんが。)
もしかすると、実験的な攻撃なのかもしれませんね。

jar


「プライバシーは情報フローを管理する方法である。」

  人々はどうして、自分の個人情報を赤の他人に与えることをいとわないのだろう?

  それは人間が情報を共有したいと考えるからだ。そして実際、所有物やサービスといった「もの」よりも、ずっと気楽に情報をシェアしている。

  以下のうち、あなたがもっとも、あまり考えずに提供しそうなものはどれだろうか?

  •  見知らぬ人にバス停の方向を教える(情報)
  •  見知らぬ人をバス停まで連れて行く(サービス)
  •  見知らぬ人にバス代をあげる。(所有物)

  あなたが多くの人と同様なら、躊躇無く方向は教えても、自分のお金をあげることには抵抗するだろう。

  そしてこれが、発達した人間社会の仕組みだ。中でも我々は特に情報を共有する。何故なら、それはほとんどコストがかからず、社会がより効率的に機能するのに役立つからだ。

  この考えは、クレイ・シャーキーが2010年、South by Southwest(SXSW)で発表したものだ。シャーキーは何度もTEDトークを行っており、テクノロジーの社会への影響に関する思索で広く尊敬されている。プライバシーに関する話題に興味があるなら、シャーキーが2008年の「Web 2.0 Expo NY」で行ったプレゼンテーション「情報洪水などない。それはフィルタリングの失敗だ」を見るべきだ。

  このプレゼンテーションで、シャーキーは「プライバシーは情報フローを管理する方法だ」という所見を述べている。シャーキーによれば、我々がプライバシーに関して直面している大きな問題は、我々が設計された一つのシステムから、異なる特性を持つ他のシステムに移行するのではなく、徐々に発達したシステムから設計されたシステムに移行している、という事実を中心に展開しているということだ。

  「プライバシーを管理すること」は、自然な行為ではない。

  昔、プライバシーは、人々をスパイすることが簡単ではなかったことで維持されていた。Facebookのようなプラットフォームは、新たに独特な問題を生み、そして古くから存在するフィルタを一新するのではなく、むしろ新たなソリューション(フィルタリング)が必要となる。


YouTube:情報洪水などない。それはフィルタリングの失敗だ。

eEye Digital Security & SCS & FFR

鵜飼です。

日本に帰国して早4年経ちました。
長かったのか短かったのかよく分かりませんが、やはり今となってはアメリカに住んでいた頃が遠い昔のようです。

アメリカではeEye Digital Securityに4年ほど勤め、脆弱性スキャナRetinaの開発やセキュリティ脆弱性関連の研究に従事していました。当時の仲間とは今でも時々連絡を取り合っていたのですが、このたび、eEye Digital Securityと、Retinaの国内展開でご一緒させて頂いていた住商情報システム様と共同で、セミナーを開催する事になりました。私としてはとても懐かしく思うと同時に、この4年間でそれぞれ色々な新しい動きがある中での共同企画は、とても新鮮な気がしています。

本セミナーでは、eEye RetinaとFFR yaraiの連携ソリューションを発表予定です。脆弱性マネージメントにかかるコストを削減しつつ、安全な環境を作るための仕組みを実現するためのものなのですが、今回、本ソリューション発表に加えて、eEye Digital SecurityのCTO、Marc Maiffretから「ワールドワイドでのハッキングトレンド最前線」と題して講演が行われます。また、弊社からは私と村上による「Inside Android Security 〜 内部構造から探るAndroidの脆弱性攻撃とマルウエア脅威」と題してAndroidセキュリティに関する研究成果を発表します。今回発表させて頂く研究成果は脆弱性マネージメントに直接関係する話題ではありませんが、Android端末を解析して分かったセキュリティに関する状況や対策等についてお話する予定であり、Android端末の利用において知っておくべき事実やポイントをいくつかご説明致します。

もしご興味ございましたら、是非、以下よりお申込み頂ければと思います。

http://www.scs.co.jp/event/2011/0726_648_hacking_measures/

※当該記事執筆は「株式会社フォティーンフォティ技術研究所」名義でなされました※

自身をブロックするウイルス

  「Virus:W32/Ramnit」は、2010年に感染が確認されており、多くのマルウェアアナリスト/リサーチャーによく知られている。

  この興味深いウイルスのテクニカルな詳細については、他のマルウェアリサーチャーたちがブログに記事を書いている(たとえばここここにある)。しかし若干の注目すべき技術と、そして「イースターエッグ」が、発見されるのを待っている。

  その興味深い技術の一つは、「Ramnit」が使用するインジェクションメソッドだ。従来の方法とは異なり、ウイルスが停止したスレッドを作成し、メモリ書き込みWindows API機能を使用し、コードの注入を行い、インジェクション完了後、停止したスレッドを再開する。

  このケースで、「Ramnit」を独特の物にしているのは、デフォルトのWebブラウザプロセス、もしくは「svchost.exe」として知られるGeneric Host Process for Win32 Servicesという新しいプロセスを生み出すのに、これがWindows API機能をコールすることだ。この新たに生み出されたプロセスにインジェクトすることで、コードはユーザに不可視となり、ファイアウォールをバイパスすることができる。

  しかし、それ以前に、「Ramnit」は「Ntdll!ZwWriteVirtualMemory」と呼ばれる、マニュアルに記載されていないWindowsネイティブシステムサービスに、インラインフックをインストールする。以下の画像は、このインジェクションの仕組みを示したものだ:

ramnit infection

  フックされたWindowsネイティブシステムサービスは、コードインジェクションルーチンを実行するため、コード実行フローをコーラプロセスに定められたモジュールにリダイレクトする。新しいプロセスでインジェクトされたコードは、バックドアおよびダウンローダ機能のほか、ファイル感染力(Windows実行ファイルとHTMLファイル)を含んでいる。

  「Ramnit」でもう一つ注目すべき点は、上記のプロセスにインジェクトされるDLL内に見られる「イースターエッグ」だ。以下に挙げた同コードのスナップショットが、すべてを説明するだろう:

antidot

  基本的にこのイースターエッグは、レジストリキーにナビゲートし、「WASAntidot」を探す:

antidot

  我々がテストマシンで「WASAntidot」レジストリキーを作成しようとすると、以下のような画面を見ることになった:

antidot activate

  ほら! マシンは「Ramnit」の感染から安全だ!

Threat Solutions post by — Wayne

無料iPadへの2ステップから遠ざかる

  正直なところ、リンクをクリックすることで無料の何かを獲得したことが何回あるだろうか? いや…スパムやトロイの木馬、スパイウェアは、無料の何かとはカウントしない。

  我々は先頃、アプリケーションテスタに、無料でiPadをプレゼントするという詐欺を発見した。明らかにこのサイトは、iPadアプリケーションテストプログラムに参加するよう人々を誘い込み、同サイトのオーナーがSMS料金のチャージとアフィリエートプログラムから利益を得るという仕組みだ。同プログラムに参加するには、「テスタ」は2つのステップを完了することが要求される。

iPad scam website

ステップ1:Twitterコネクト。「テスタ」は自分のTwitterアカウントにログインし、「Keep it to hend」という名のアプリケーションが、自分の情報にアクセスできるようにすることが求められる。

iPad scam Twitter

  すると、テスタの友人は「iPadAppsTesting」Webサイトへのリンクを含んだつぶやきを受けとり、「Jennt0kvqt」という新しいフォロワーが、友人達をフォローすることになる。

iPad scam, Twitter spam

iPad scam, Twitter Jenny

  ではJennとは誰なのか? 彼女のページを見ても大した事は分からない。彼女の写真へのリンク(サイトに参加するよう誰かを取り次いだ人に報酬を与えるアダルトサイトにアクセスさせる)と、若干のありふれたつぶやきがあるのみだ。

ステップ2:ボタンをクリックして登録を完了し、テスタは他のサイトに誘導される。

  iPadを獲得するための質問に回答すると、次に携帯電話の番号を入力し、1週間に2つのSMSを受けとることに同意するよう求められる。SMSは1本につき8マレーシアリンギットかかる。

iPad scam SMS

  結局のところ、約束されたiPadはまだ確認されておらず、テスタはTwitterスパムとバカバカしいSMSメッセージの料金で途方に暮れることになる。

  投稿はChoon Hongによる。

ついに標的に狙われたSCADAシステム

  先週よりWindowsのLNKショートカットファイルを使用する新たなゼロディ・エクスプロイットが、標的型攻撃に使われると懸念されています。しかし今回重要なことは、このエクスプロイットがSCADAシステムのWindows上で動くマネジメントアプリケーションをターゲットにしている点です。F-SecureのSean Sullivanのポスト  「スパイ攻撃がLNKショートカットファイルを使用」「LNKエクスプロイトに関するその後の分析」 でもこれについて少し触れられています。

  SCADAとは、工場のオートメーションなどに使われる、機器制御とモニタリングのデータ収集とを行うための取り付けモジュール型コンピューター装置のことですが、これらは工場だけでなく電力網、ガス供給、水道、石油パイプラインなど重要インフラでも大規模に使用されています。

  私は6年ほど前に重要インフラ保護関連の調査のため、サンディア研究所などアメリカ数カ所でヒアリングのために回ったことがありますが、SCADAのセキュリティはその時すでに重要な課題になっていました。その時期アメリカでは東海岸での大規模停電を経験した直後だったため、そこから検討して電力グリッドなどに使われるSCADAシステムが攻撃された場合にも大規模な電力障害が起きうると想定されていました。

  Robert McMillanによるNewYork Timesに掲載された記事 「New Virus Targets Industrial Secrets」 では、この点についてさらに掘り下げていますが、今回のLNKファイル・エクスプロイットでは、Siemens社のSCADAマネジメント・ソフトウェアの「Simatic WinCC」のみが狙われる仕組みである事が判明しているそうです。このエクスプロイットはUSBデバイスに潜み、WindowsOSのPCに挿し込まれるとまずスキャンを開始、他のUSBデバイスを探して自身をコピーしようとするか、またはSiemensのWinCCソフトウェアを発見するとデフォルトパスワードでログインしようとします。そのためSiemens社は先週金曜にはすでに顧客に対してアラートを出しているそうです。

  NYTimes記事中で、Mississippi州立大学の研究者Wesley McGrewによると、このエクスプロイット作成者がもしもっと広範囲な悪用を狙うなら、もっと普及しているSCADAマネジメント・システムのWonderwareやRSLogixを試しただろうと発言しています。今回のエクスプロイットは、SCADAを乗っ取って人質にし身代金要求するためかもしれない、という観測もあります。

  SCADAのコンピューターは、未だに1980年代の8bitや16bitのCPUのOSなど搭載しないコンピューターの世界と近いものがあり、最近流行のArduino程度の性能かそれ以下のものも多いでしょう。また使用される場所も人里離れた山奥などもあり、一度設置されると何年あるいは何十年も壊れない限り使われる可能性がありますから、ソフトウェアのアップデートも行われないで放置され得ます。またパスワードなども変更される前提になっていないことから、デバイスにハードコードされている場合もあります。

  しかし、1990年代にはSCADAの世界にもネットワーク化の波が押し寄せたために、階上階を重ねるようにTCP/IPが追加されてきました。そのため、メーカーによってはPCの世界では考えられないようなインプリメントをした場合があったようで、以前アメリカで聞いた話でも、TCP/IPのポート番号を直接制御コマンドに割り当てられたSCADAが使われた工業用ロボットがあり、セキュリティ・テストのためにポートスキャンをかけただけで、いきなりトンデモない動作を始めた例があったそうです。

  また、低速CPUでRAMも限定量しか搭載されていないコンピューターでありOSすら走っていないとしたら、ファイアーウォールやフィルタリングなどのベーシックなセキュリティ機能が入る余裕もないといえます。TCP/IP通信もむき出しのパケットが流れているため、アメリカ商務省下の国立標準技術局(NIST)ではSCADAモジュールにアドオンするためのAES暗号通信モジュールを研究していました。

  従来から、サイバー戦やサイバーテロリズムの危惧からSCADAのセキュリティについて指摘が出されて来ていましたが、今回明らかにSCADAをターゲットにしたエクスプロイットが登場したことで、現実の問題として認識する必要があります。今回の問題を指摘したのがベラルーシのアンチウィルス企業だったことは、地理的な要素から見たら偶然ではないでしょう。重要インフラのSCADAに対する攻撃が成功した場合は、国としてのインフラ機能を奪うことができます。日本でもSCADAは各方面で使われています。輸入品よりは日本の電機メーカーのものが多く使用されていると云われていますが、将来に備えて警戒が必要な分野と言えると思います。

ボットネット・アフィリエイトは登場するか? 【脅威の将来予測】

  オプトイン・ボットネットについてDancho Danchevが興味深い考察をポストしています。 "Attack of the Opt-In Botnets"

  今までは一般的に、ボットネットはそれを構成するためのマルウェアに感染させられた多数の一般ユーザーのPCによりできていると考えられています。この場合は、マルウェアはユーザー本人の意思に反してインストールされたものであり、ユーザー本人は不利益を被っていることになります。しかし、もしユーザー本人が希望してマルウェアをインストールしボットネットに自分のマシンを接続したらどうなるでしょうか?

  「オプトイン」とは本人が自分で選択することですが、Dancho Danchevはそのようなケースを「オプトイン・ボットネット」と呼び、"Attack of the Opt-In Botnets"の中で、過去にすでに起きている事例を挙げて検討しています。

  このオプトイン・ボットネットの例として挙げられているものでは、中国、グルジア、イラン、イスラエルのDDoSの例など、ユーザーが政治的モチベーションに基づき参加してきたものがほとんどです。たしかに思想・信条・政治・宗教に基づく主張から、このような集団行動のひとつとして多数のユーザーが賛同してくることはありますが、金銭的利益に基づいて行動する場合はありえないのでしょうか?

  オプトイン・ボットネットについてその方向で思索を巡らせてみると、ブログなどソーシャルメディアで一般的になっている、「アフィリエイト」の仕組みがボットネットと組み合わせられる可能性に気がつきます。ボットネットを運営する犯罪者は、SPAM配信や時間貸しDDoSなどで利益を上げています。ここでもし、マルウェアをインストールしたユーザーに対しその利益の一部を還元する仕掛けがあると、ユーザーには積極的にマルウェアをインストールする金銭的インセンティヴが発生します。そのため、今までは不利益を被っていたと考えられていたユーザーが、犯罪者の擁護に回る可能性もあります。もしマルウェアの存在が法執行機関から特定されたとしても、アフィリエイト報酬の支払ルートがマルウェア本体とは分離されていれば、ユーザーは「知らない間に感染した」という主張を続けることが比較的容易にできるでしょう。

  ソーシャルメディアでのアフィリエイトで高い報酬を得るのはなかなか難しいですが、G20国とは物価の差が10倍以上の開きがある発展途上国から見たら、その価値はまったく違います。そこにボットネットのアフィリエイト・スキームが普及してしまったら、かなりの悪夢になるでしょう。さらに犯罪者は、普及のためにネズミ講的な仕掛けを含められるかもしれません。そこではアンチウィルス・ソフトウェアはユーザーが買うものではなく、犯罪者より高い金額をユーザーに払ってインストールしてもらう必要が出て来るかもしれません。

国内の携帯電話におけるマルウェアの脅威

モバイル・マルウェアの潮流を待ちながら」という記事が投稿されていましたが、ユーザーアプリが動作する国内の携帯電話におけるマルウェアの脅威についても、2001年にiアプリを搭載したNTTドコモ社の503iシリーズの発売当初から常に話題に上っています。結論から言ってしまうと、キャリア各社が次のような制限を施しているので、国内の携帯電話でマルウェアが発生する確率はかなり低いでしょう。

  • アプリケーションはそのアプリケーション自身のダウンロード元であるサーバとしか通信できない
  • 電話帳などの個人情報を含んだネイティブデータへアクセスできない
  • キャリアの管理下にある専用サーバからのみアプリケーションをダウンロードできる仕組みになっている
  • キャリアの実施する検証にパスする必要がある
  • ブラウザやSDカードをフォーマットするもの、動画配信などのように通信帯域を過大に消費するものは配布できない
  • アプリの配布基準によって使用できるAPIを制限している

しかし過信禁物です。これらのセキュリティ機能が万全なわけではありません。過去にアップル社の審査を通過し、一度はApp Storeを通じて販売されたiPhoneアプリが違反を理由に姿を消したことがありました。

“幻のiPhoneアプリ”…巷を騒がせた「NetShare」の正体とは? (日経トレンディネット, 2008年08月09日)

つまりキャリアが実施する検証は完璧ではなく見落としもあるということです。また、モバイル環境のアプリでは、モバイル機器側だけでなくWebアプリと組み合わせたサービスも多く、この組み合わせによる問題も考えられます。さらに過去には国内の携帯電話の組み込みアプリの不具合によってデータが失われたり、許可されていないスクラッチパッドへのアクセスが可能になったりといった問題が発生していますので、今後、深刻な脆弱性の発見によりマルウェアが作られてしまうことも否定できません。

高度化、複雑化するモバイル環境でマルウェアの問題が深刻化する可能性が高いため、被害を拡大させないために調査・研究を続け、対策を講じる必要があるでしょう。

高間剛典さん:エフセキュアブログメンバーご紹介

こんにちは。エフセキュアブログ管理人の尾崎リサです。

今回の投稿では、先日のごあいさつでご案内した通り、エフセキュアブログのメンバーをご紹介申し上げたいと思います。

まず最初は、1990年代から、世界各国をまわって、暗号やセキュリティにまつわる政治・文化状況を調べていらっしゃる高間さんからご紹介したいと思います。

高間さんとは、エフセキュアブログ試験運用中の4月に、高間さんの事務所にほど近い原宿のカフェでお話をお聞きしました。


●高間剛典さん (Gohsuke Takama)

メタ・アソシエイツ (Meta Associates) 代表
TokyoGlamorous.com (設立準備中) 代表
・Twitter: http://twitter.com/gohsuket
・ブログ: http://www.gohsuketakama.com/
高間さんのエフセキュアブログの投稿記事一覧

メンバーシップ:
Privacy International (London, UK) アドバイザリーボード・メンバー
Computer Professionals for Social Responsibility 日本支部設立メンバー

専門領域:
ビジネスネットワーキング、ストラテジープランニング、プロジェクトコーディネート、ITジャーナリズム

略歴:
1991年よりアメリカなど海外と日本とを頻繁に往復、各種のコンピューター技術関連コンファレンスや学会にアテンドし、インターネットとテクノロジーの最新状況、セキュリティとプライバシー保護政策、重要インフラ保護政策や施策の動向をリサーチしている。技術動向分析による調査報告やテクノロジー事業戦略立案・政策案アドバイス、セキュリティテストやコンファレンス制作のプロジェクト管理など、電子機器設計製造事業とイベント制作を手がけた経験をもとに、様々なコンサルティングを提供している。

1995年からはアメリカでのインターネットと暗号技術やセキュリティ、プライバシー保護技術の動向の継続的追跡、2003年からは電力・通信など重要インフラの保護対策の調査と事業継続性プランニングについても調査。またセキュリティと平行して、人工知能エージェント技術、ピア・トゥ・ピア・ネットワーク技術、Web2.0サービス技術、ソーシャルメディアなどの最近のICT動向についても調査し、近年はヨーロッパ・アジアにも守備範囲を拡大している。続きを読む
バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード