エフセキュアブログ

FSECURE を含む記事

モバイルセキュリティに関するWeb放送:8.11 17.00 EET

 @FSecureのTwitterアカウントをフォローしていて良かった。なぜなら金曜日にミッコと共にWeb放送を行うようなのだ。

 議題はモバイルセキュリティだ。

Mobile Threat Report Q3

 ミッコのスケジュールに基づいて、これに同意したのをうっすらと覚えている。ミッコの忙しい出張スケジュールの中で、11月8日の都合がついたんだった。

 以下は通常私がミッコの居場所を追跡する方法だ。

Moscow, Paris, Berlin

 あるいは、いたずらのメッセージを受け取ることもある。

Greetings from Moscow

 実際は違うのだが(たいていの場合)。

 ともかく、金曜日は是非ご参加を。詳細は以下。

  •  Mobile Threat Report with F-Secure Labs

 そしてもしあなたが(私同様)アメリカ人で、「8.11 17.00 EET」というのが単にランダムな数字の羅列に見えるなら・・・。

 これは2013年11月8日午後5:00(ヘルシンキ)のことで、北米東海岸では午前10:00になる。

 Post by — @Sean

Google Play上の恐怖の模倣アプリ

 昨日は万聖節前夜、つまりハロウィンだったか?そして当然ながら、それ用のアプリがある。あるいは場合によっては、数多く存在するのかもしれない。

 以下は「友達を怖がらせる(scare your friends)」ために設計された、一連のアプリだ。

Scare your friends

 次のアプリは1,000万回以上ダウンロードされた。

Scare your friends

 以下の模倣版でも数10万回はダウンロードされている。

Scare your friends Scare your friends

 Androidはアプリの区別に実際には寄与しない。

Scare your friends

 しかし当社のpermissions dashboard(Google PlayのApp Permissions)を用いると、大きな違いが見て取れる。

Scare your friends Scare your friends

 一番人気のアプリケーションはパーミッションを3つ希望するだけだが、模倣版は21も要求する!そしてさらに悪いことに、このパーミッションの中には個人情報を参照する能力も含まれている。このあなたの個人情報こそが模倣アプリが狙っているものだ。

 怖い。

 先の「正規」版のアプリはハリウッド映画からイメージを「借用」しており…、模倣版を警察で取り締まる動機を持つ者は皆無だ。そして、広告会社としてのGoogleも、警察へという動機はさほどなさそうだ。

 そして、数10万人の人が自身の個人情報を共有した。

 友達を怖がらせる、正にね。

—————

Analysis provided by — Jose

KINSのソースコード流出にみるサイバー犯罪対策の難しさ

オンラインバンキング詐欺ツールで知られる「KINS」のソースコードが、遂にアンダーグラウンド系フォーラムに流出しているのが確認されました。これにより、オンラインバンキングの利用者を狙ったサイバー犯罪はさらに複雑化していくことが予想されます。

KINSとは今年7月頃に報告され、次代のZeuSやSpyEyeと呼ばれる不正プログラムの1つです。

9月末にKINSの詳細情報が報告されました。10月10日頃よりセキュリティ専門家より一部の捜査機関、およびセキュリティベンダー等にKINSソースコードが配布され始め、ようやく対策が取られ始めたところでした。
#ソースコードの入手の際には所属組織、氏名、職位等の情報が必要。

参考
http://touchmymalware.blogspot.ru/2013/10/kins-source-code-leaked.html
http://www.xylibox.com/2013/09/having-look-on-kins-toolkit.html
http://pastebin.com/T1A80ZYF
https://blogs.rsa.com/is-cybercrime-ready-to-crown-a-new-kins-inth3wild/


KINS source code

ところが、先週この配布されたソースコードはあっさりと流出したことが確認されました。
KINSのソースコードは、配布者の承認を得たセキュリティベンダー等とされているだけに非常に残念な事です。
#インテリジェンスの共有が難しいのは、この辺りでしょうか。

leaked source code

残念ながら、KINSが完全に検出はできない状態ですが、かろうじて救いなのは、KINS自体は一部の関連ファイルから見て取れるように、ZeuSがベースとなっていることでしょうか。そのため、実行時にZBOTもしくはSpyEye関連のファイルとして検出されることがあります。例えば、次に示す関連ファイルはその典型です。

bot32.dll

参考URL
https://www.virustotal.com/en/file/8c8055c9e972ab37d0880f2b8f63605be52babd779a29e78be3647194ef31aa2/analysis/

また、Dropperに限定されますが、AlienVault-LabsからYaraのルールが提供されています。
https://github.com/AlienVault-Labs/AlienVaultLabs/blob/master/malware_analysis/KINS/kins.yar
オリジナルルールが追加可能なセキュリティ製品を所有しているのであれば、このルールを参照してみるのも良いかもしれません。

勿論、組織としてこれらの対策を講じることは大事ですが、まずは個々の口座で不正送金等が無いかの確認をする方が先決です。


いかにWindows XPが攻撃しやすいか

先日よりInternet Explorerのゼロデイ攻撃(CVE-2013-3893)がアジア各地で確認されており、Metasploitにも攻撃モジュールが組み込まれたことで危険性が高まっています。現在のところMetasploitで対象となっているのは、Office 2007/2010がインストールされているWindows 7のIE8/IE9だけですが、Windows XPを攻撃するのは簡単でOfficeなんかインストールされていなくても攻撃が可能ですので、XPを使っている方も油断してはいけません。

cve-2013-3893_onXP
[Windows XPでIE8の脆弱性を悪用し電卓を起動したところ]

攻撃が簡単な理由は、Windows 7ではASLRといってメモリアドレスをランダムに配置する機能が備わっているのに対して、Windows XPではそのような機能が無いため攻撃に利用可能な場所がそこらじゅうにあるからです。

noaslrOnXP
[Windows XPではASLRが有効ではない]

Windows 7ではASLRのおかげで攻撃に利用可能な場所はほとんどありません。

noaslrOn7withoutOffice
[Windows 7インストール直後のIEにはASLRが無効になっているDLLは無い]

しかし、「ほとんどありません」ということは、「少しはある」ということを意味します。例えば、Officeがインストールされている状態でms-help://にアクセスすると、次のように攻撃に利用可能なDLLがロードされます。

noaslrOn7withOffice
[Windows 7でIEにms-help://を読み込ませた際に、ASLRが無効になっているDLLリスト]

CVE-2013-3893で悪用された手口で、Windows 7を攻撃するのにOfficeがインストールされている必要があったのはこのDLLを強制的にロードさせて攻撃に利用するためです。この手口は2012年から報告され、実際に悪用されたこともあったのですが、残念ながらまだ修正されていません。ただ、これだけ毎回悪用されると修正されるのも時間の問題かと思います。

このようにWindows 7では脆弱性発見から攻撃成功にいたるまでは
[脆弱性発見] -> [攻撃に利用可能な場所を調査] -> [攻撃成功]
というステップを踏む必要があるのに対して、Windows XPでは
[脆弱性発見] -> [攻撃成功]
というステップだけですので、攻撃を成功させるのが容易なわけです。

2014年4月にはサポートも切れることですし、XPとのお別れの時期もいよいよ目前に迫ってきましたね。

iOS 7の、セキュリティを喚起するもの

 アップル社のiOS 7が昨日リリースされた。

 そして、セキュリティを喚起する、新たなすばらしいものがある。

iOS7_Microphone_Prompt
@WeldPond

iOS7_USB_Prompt
@mikko

 もし他に見かけたら、@FSecureにつぶやいてほしい。

9.18のサイバー攻撃に関しての補足的情報(追記)

恒例の918サイバー攻撃の時期が近づいていますが、対策は万全でしょうか。
概要はニュースなどで報道されていますので、内容は割愛させて頂きます。

さて、報道にもありましたように9/18に向け、今年も紅客(ほんくー:中国のハクティビズムのグループの総称)らより攻撃の標的リストが公表されています。
しかし、残念ながら必ずしもこれらのリスト通りに攻撃が行われるわけではありません。
一部の攻撃者らはGoogleなどの検索エンジンを利用することで、標的を絞っています。つまり、攻撃者らの検索結果として表示されたウェブサイトは攻撃対象となる可能性がある、ということになります。
そういった意味では、リストに記載されていない組織においても警戒をしておくに越したことはない、と言えます。

標的リスト例


では、攻撃者はどのような文字列を検索し、標的を絞っているのでしょうか。
例えば、ある紅客はSQLインジェクションの標的を絞り込むために、次のような文字列を利用しています。
site:.jp inurl:php?id= site:.jp inurl:asp?id=
結構、大雑把に検索していることが分かります。とりあえず、リスト化して攻撃しようということなのでしょう。
このような検索文字列に関しての情報は、9月に入り日本への攻撃を示唆する内容と共に複数確認されています。
他の検索文字列として次のものが紹介されています。(9/18の攻撃と直接関連するかは分かりませんが、、、)

google hacks
※「inlitle:」は「intitle:」のtypoかと思われます。

他にも様々な検索文字列により検索されることが推測され、多くのウェブサイトが攻撃対象となる可能性があります。そういった意味では、これらの検索結果に、自身のウェブサイト上の脆弱点が表示されていないか、など事前に確認しておくことは攻撃対象から逃れる点では、有効な対応策の1つと言えます。

ちなみに、これらの検索結果にはWordpressなどのCMSの情報も含まれています。メジャーなCMSは脆弱性も多く報告されていることから、標的となる可能性が高いと考えられますため、確実に対策を実施してください。
※WordpressやMovable Typeに関してはIPAからも注意喚起がされていますので参照ください。
http://www.ipa.go.jp/security/topics/alert20130913.html

尚、Google Hackingはキャッシュから調査しています。そのため、標的の絞り込みの段階でウェブサーバに対して明らかに攻撃と判断できる通信は発生しません。

実際に日本組織を狙った大規模なサイバー攻撃があるかは分かりません。しかし、毎年恒例のことですので、避難訓練のつもりでエスカレーション・チェックなどを実施しても良いかと思います。
現在のところ、DDoS攻撃や多数のウェブサイト改竄などの目立った動きが報告されていませんが、目立った情報が得られましたら随時追記していきたいと思います。


【追記 9/18】
複数のウェブ改竄が確認され始めました。
ウェブサーバのコンテンツに日本を挑発するようなファイルがありましたら、侵入されている可能性大です。
例えば、Fuck-JP.html などです。
念のため、不審なコンテンツが追加されていないか確認されることを推奨します。

1937CnTeam

ちなみに、記載されている内容は満州事変とは直接関係のあるものではありません。


もしもDEFCON CTF優勝者が防衛省サイバー防衛隊に入ったら

福田和代さんが執筆した「サイバー・コマンドー」というタイトルの小説が発売になりました。

サイバー・コマンドー

DEFCON CTF優勝経験者が防衛省サイバー防衛隊に入り、日本を巻き込んだサイバー戦争に立ち向かうというストーリーです。
CTFに関しては、なぜ自分がCTFをやるのかといった心意気からどうでもいいコネタにいたるまでを私が入れ知恵し、防衛省に関しては、元陸自システム防護隊初代隊長の伊東さんがアドバイスしていますので、妙にリアルな内容になっており、業界の人ならニヤリとするネタが満載です。
もちろんネタだけじゃなくて、今後起こりうるサイバー戦争のシュミレーションとしても価値のある一冊です。

プロモーションビデオもあるようです。

Android RATのオープンソース化で行きつく先は・・・


2011年に著名なBotであるZeuSのソースコードが流出したことは記憶に新しいです。その後、CitadelやKINSなどのBotの開発コミュニティは活性化し、サイバー犯罪に悪用される不正プログラムはより高度化したように思います。併せて、Malware as a Serviceの市場も拡大し、サイバー犯罪被害の増大に滑車を掛けました。(下図はCitadel Botnet Build Serviceの例)

citadel1

このような状況になった切っ掛けは、前述したソースコードの流出が要因の1つと考えられるわけですが、それが意図的であったかどうかは分かりません。しかし、結果として情報がオープンになったことで、それらの産業(?)は飛躍的に伸びたことは間違いなさそうです。
また、最初から不正プログラムをオープンソースとして配布したり、APIを公開するなどしコミュニティからアイデアを募ることで開発力を高めている例も少なくありません。

この流れはPCを対象としたマルウェアだけでなく、Androidにおいても幾つか確認されています。
例えば、AndroRatなどはその典型です。このRatはオープンソースとして配布されており、案の定、公開と同時に悪用が確認され、犯罪利用の増大が懸念されています。(下図はAndroRatのソースコードの一部)

androrat1

また、今後追加されるであろう機能についても注目されています。先ず、AndroRatの標準の機能においては、次のものがあります。
#他のRatでも確認できる標準的な機能を有しているように思います。
  • Get contacts (and all theirs informations)
  • Get call logs
  • Get all messages
  • Location by GPS/Network
  • Monitoring received messages in live
  • Monitoring phone state in live (call received, call sent, call missed..)
  • Take a picture from the camera
  • Stream sound from microphone (or other sources..)
  • Streaming video (for activity based client only)
  • Do a toast
  • Send a text message
  • Give call
  • Open an URL in the default browser
  • Do vibrate the phone
これに対し、他のオープンソースのAndroid Ratで追加が予定されていた機能として次のようなものがあります。これらのアイデアがAndroRatに取り込まれるかは分かりませんが、少なくともこういった機能を有するRATが登場する可能性はある、とは言えそうです。
#ちなみに、この開発プロジェクトは現在ストップしています。
  • Facebook Poster
  • Twitter Poster
  • Password Stealer 
  • Screenshot look
  • Root All Android Devices! (With 30 Working official verizon/at&t/sprint/Phonebooth ROMS)
  • Look At cam
  • LOAD ALARM
  • Time Changer
  • Text Reader
  • File Manager
この中で個人的に気になったのは、パスワード・スティーラーやスクリーンショットの閲覧、ルート化でしょうか。現在、Androidをはじめとしたスマートデバイスから、金融機関(銀行や証券会社など)を含め様々な取引きが可能です。この点を踏まえますと、上述の機能は非常に脅威です。
これらのアイデアが他のAndroidマルウェアにどの程度取り込まれるかは分かりません。しかし、Androidマルウェアのソースコードの公開により、この他にもサイバー犯罪の敷居を下げるような機能がが次々と登場するのは時間の問題かもしれません。(考え過ぎかもしれませんが。。。)
ちなみに、AndroRatはコンパイルサービスが確認されています。Androidマルウェアに関しても近い将来、本格的なMalware as a Serviceなどが提供されるようになるかもしれません。




気の毒なTeam Lokki、日の光を楽しむ時間がない

 ヘルシンキでは夏のような美しい気候が1週間近く続いている(8月下旬はいつもそう、というわけではない)。

 それなのに、一体全体「Team Lokki」はどうしてブラインドを閉めて部屋の中で座しているのだろうか?

Team Lokki

 日の光を楽しむ時間がないのだ。なぜなら、守らねばならぬ厳しいスケジュールがあるからだ。彼らはLokkiの最新版の開発をしている。

iPhone, Lokki splash

 Lokkiとは?

 これは一種のトラッキングを行わないトラッキングアプリだ。言い換えると、選択した何人かの間であなたの現在地を共有する、ライフスタイルアプリである。

 ソーシャルネットワークなし。ビッグデータなし。履歴なし。

 あなたと、近親者、そして現在は幾人かの友人だけが、あなたの現在地を共有できる。

 詳細情報はlok.ki/blogで確認できる。

 Team Lokkiはスタートアップ企業のように活動している。「この夢を飛び立たせるためにクレジットカードを限界まで使ってきた」という感じで、カッコいいベンチャーキャピタルからの資金提供といったものではない。おそらく上の写真から分かると思う(Harriの机の上の空のボトルは気にしないように)。しかし、ともかくこのチームのプロジェクトは初期段階にあり、フィードバックを喜んで受け入れ、また非常に感謝するだろう。そして、フィードバックがアプリケーションの開発パスに直接的な影響を与える。

 Lokkiは現在、Android用とiOS用のものが用意されている。

 まだ、すべての国で利用できるわけではない(法的ななんやかやは現在処理中)。

 カナダ向けのiTunesのページはこちら。

 Google Playでこのページを見ると、次のようになる。

Lokki_US__Google_Play

 AndroidアプリのポータルAppBrainへのリンクが使える。

 ありがとう!

 追伸 ― アメリカ在住の方のために注意点を少々。Googleの検閲を迂回するためにリファラーにAppBrainを用いると、CFAA法違反(Computer Fraud and Abuse Act、コンピュータ詐欺および不正行為防止法)と見なされる可能性がある。

 冗談だろう。いや、そうでもない。たぶん。CFAAは改正する時期が来た。

日本の安全保障を狙った攻撃の手口

先日から日本の安全保障に関する業務に携わっている方々に対してマルウェア付きのメールが届いているようですので、その手口を紹介します。

最初に、メールの添付ファイルとして「取材依頼書」というファイル名のzipファイルが届きます。
lnkmalware1

zipファイルを展開すると、テキストファイルへのショートカットが入っています。
lnkmalware2

プロパティを確認すると、確かにtxtファイルへのショートカットになっているように見えます
lnkmalware3

ところが、リンク先の欄を左にスクロールしていくと、別の文字列が出てきます。
lnkmalware4

本当のリンク先は%ComSpec% ...となっています。%ComSpec%というのはコマンドプロンプト(cmd.exe)を意味しますので、このリンク先の欄で攻撃者が指定した命令を実行させられてしまう、つまりは攻撃者にPCを乗っ取られてしまうことになります。
今回の事例では、もしショートカットをクリックしてしまうと、感染したPCのフォルダやファイルの情報を盗み出し、最終的にはPC内のファイルの内容を盗み出す仕組みになっておりました。

以上がショートカットを利用したマルウェアの手口ですが、皆さんに注意していただきのは、
人から送られてきたショートカットはクリックしてはいけない
ということに尽きます。
ショートカットは実行ファイル(exeファイル)と同じくらい危険だと思ってください。

このような手口は何かの脆弱性を攻撃しているわけではなく、ショートカットの”仕様”を利用したものですので、ウイルス認定することが難しく、多くのウイルス対策ソフトウェアでは検知できませんし、ふるまい検知型のウイルス対策ソフトでも検知することができませんでした。


さて、すでに多くの方はお気づきになっていると思いますが、日本語版のOSではショートカットのファイル名が文字化けしています。
そこで別の言語のOS上でもzipファイルを展開してみたので、結果を紹介して、文字化けの理由の回答とさせていただきます。

lnkmalware-jalnkmalware-zh



クローズアップ現代のいう"巧妙"とは?

先月(2013年6月6日)にNHKで放送されたクローズアップ現代では「国家の“サイバー戦争”〜情報流出の真相〜」というタイトルで国家間のサイバー戦争が取り上げられました。
放送内容はNHKのサイトで読めるようになっています。

番組の中で、私が調査したウイルスが仕事に関係する文書を巧妙に装っていたとして紹介されました。
malwarename

「こんなのひっかかるやつのレベルが低い!」と思われるかもしれませんが、これは解析環境上での表示であって、実際に被害者が目にする表示ではありません。

例えば、Windows 7をデフォルト設定で使っている人のPCでは次のように表示されます。
この中でどれがウイルスなのかわかりますか?
malwares

ファイルの種類がアプリケーションやスクリーンセーバーとなっているものは明らかにウイルスです。malwares_detail

実行ファイル(exeファイル)を使用した攻撃は今でも頻繁に行われています。
(一年ほど前にも同様の手口をエフセキュアブログで紹介しています。)

このような昔ながらの手口がいまだに使われているということは、まだまだ引っかかる人がいるということを意味しているのでしょうね。

人気のJava Exploitに改めて注意

現在、UGマーケットではJavaの脆弱性に関連した商品やサービスに注目が集まっています。
下図のようにJavaの脆弱性を標的としたEaaS(Exploit Pack as a Service)が提供されるなど、その注目度の高さが窺えます。このサービスでは、BASICとPROFESSIONALで提供されるExploitコードのタイプが異なります。端的にいえば、PROFESSIONAL版の方は標的に気付かれづらい作りになっています。6ヶ月間で50USDの差額をどう考えるかですが、ビジネスとしてサイバー攻撃を行っているグループには安い買い物でしょう。

security pack


このような背景があってかわかりませんが、2012年は日本国内を含め、ウェブ改竄被害が大変多く報告されています。先日、IPAよりウェブサイトの改竄に対して注意喚起が出ており、2013年も増加し続けています。国外の状況を含め調査しますと、これらの被害サイトの多くには悪性コードが挿入されたり、設置されています。複数のウェブサイトにおいて、類似ケースも確認されていることから、EaaSやSpreader等のサービスが利用された可能性は高いと考えられます。

このような現状に対し、IPAではこの注意喚起の中では、対策として主に次の3点を改めて推奨しています。
・Windowsの自動更新を有効に
・各種プログラムを最新に
・アンチウイルス以外の機能も持つ「統合型セキュリティソフト」の活用

いずれも基本的な対策であり、且つ大変重要な対策です。上図でも確認できるように、EaaSや一部のWeb Exploit Packではアンチウイルスソフトを回避するために、利用するExploitコードや不正プログラム等をチェックするためのツールが提供されています。そのため、アンチウイルススキャンのみでの検出が難しい場合があります。
この点を踏まえますと、上述の対策は最低限実施しておきたいところです。
また、UGマーケット内でのJava Exploitの人気を考えますとウェブブラウザのJavaを無効化等の対策も実施しておくとさらに安心です。

何はともあれ、これらの背景を踏まえますと、
・PCはJavaへの対応策は万全か
・ウェブサーバに覚えの無いコンテンツが設置されていないか
・アクセスログに不審なログは無いか(そもそも適切にログが取得されているか)

など改めて確認されてみては如何でしょうか。
併せて、攻撃トレンドの変化に付いていけるようにExploitコードや不正プログラム等の情報チェックも忘れずに。


PC攻撃サイトの後継:スマートフォンとタブレットのみに関心

 当社にて発見したあるサーバは、スマートフォンとタブレットを攻撃したり、スパムを送りつけたりするものだった。PCに対してではなく。

 スウェーデンを拠点とする同僚Johanが、最近自分の電話機(Android)を使ってガラパゴス諸島を巡る船旅について検索をした。彼はVagabondと称するサイトを見つけた。そしでVagabond上でgalacruises.comへのリンクがあるエントリーを見つけた。

 Windowsベースのブラウザでは、このリンクはislasgalapagos.travelというサイトへリダイレクトする。

 しかし携帯端末を使用すると結果は大きく異なる。



 携帯端末のブラウザの場合、.infoドメインへとリダイレクトされ、さらにもう一度リダイレクトされる。

 Google Playの人気ゲームへリダイレクトされることもある。



 しかし大半のケースでは、リダイレクト先はNSFWサイト(Not safe for work、職場で開くには注意が必要なサイト)だ(以下はWindows Phoneから閲覧)。



 そして時には…、マルウェアだ!(Johanの場合はこれだった)



 悪意のある.APKファイルが、当社の「online」検知の1つによってブロックされていることが以下で確認できる。



 詳しい「disk」検知により、FakeInstaller: Trojan:Android/FakeInst.AVのバリアントとして脅威が識別されている。

 当社のMobile SecurityのSafe Browserは、この不正なWebサイトをブロックする。



 注意:攻撃用のパラメータなしで.infoサイトにアクセスすると、google.comへリダイレクトされる。

 google.comへリダイレクトするインデックスページがあるサイトだって?これは常に、何か起きていることを示す手がかりになる。

 お気をつけて。

Google Play上のアプリの広告による偽のアンチウイルス詐欺

 昨日ある極悪なBad Piggiesについて書いた。海賊版のRovioソフトウェアを使って、Google Playのユーザに好ましくない広告をプッシュするものだ。

 どんな種類の広告だろう?

 さかのぼること3月に見かけて以来、我々が追跡を行ってきたアドネットワークから一例を挙げる。

 昨日、そのアドネットワークはフィンランドのIPアドレス群をポーカーゲームアプリの広告へと差し向けていた。

 しかし今日は偽の「アンチウイルス」詐欺サイトへリダイレクトする。

Android virus-a.akeji.d Android virus-a.akeji.d

 この詐欺サイトの、ローカライズされたフィンランド語がひどい…。

 …少なくとも最下部にある免責事項へスクロールするまでに、すべて「エンターテイメント」を目的にしている、と記載されている。

Android virus-a.akeji.d Android virus-a.akeji.d

 サービスのために自分の電話番号を入力するだけで…

 おっと!

 1週間で15ユーロ?要らん。
 
 Google Playでは気をつけて

Google Playにおける悪のBad Piggies

 以下のうち1つは、他とは異なる。

Bad Bad Piggies

 いや、それは「Full Guide」のことではない。我々が指しているのは、Dan Stokesによる「Bad Pigs」だ。

 このアプリの説明は次のとおり。

Bad Bad Piggies

 わお。2013年5月25日以来、10,000を超える人がインストールしている。

 AndroidアプリのポータルサイトAppBrainでは、関連性(Relevancy)を修正していないため、「Bad Pigs」が1位にランクされている。

Bad Bad Piggies

 Danの連絡先のメールアドレスはhgfdhsdgjhd@gmail.comだ。

 これはフィッシングっぽい。

Bad Bad Piggies

 AppBrainには非常に優れた機能があり、Concerns(懸念点)と共に要求されるパーミッションを表示する。

Bad Bad Piggies

 おっと、Extraパーミッションのリストが長い。この特別な豚は単なる悪にとどまらず、邪悪だ。

 Dan Stokesは他にもいくつかのアプリケーションを提供している。

Bad Bad Piggies

 「Fruit Chop Ninja」も、やはり10,000件以上インストールされている。

 そして以下に興味深い点を示す。アプリケーションID、すなわちURLに「Rovio」という単語が含まれている。

Bad Bad Piggies

 当社の製品Mobile Securityは、これをAndroid/FakeInst.CIとして検知しブロックする。

 我々はこの問題をGoogle(とRovio)に報告し、当該アプリケーションは現在はGoogleの検索に載らないようになっている。

 皆さん、安全に。

g01packがシェア拡大の兆し

多段攻撃を介してペイロードを配布することが報告されたばかりのg01pack exploit kitがシェアを伸ばしているようです。
4月上旬くらいまではBlackHole exploit kitの改ざん被害が相次いでいましたが、ここ数日の間に変化が見られています。

Web Exploit Kitの統計情報を確認しますと、3月〜4月上旬までは、明らかにBlackHole exploit kitの検出率が多いことが分かります。

g02pack1

ところが、ほぼ1ヶ月が経過した4月23日頃からg01pack exploit kitの件数が増加し始めています。
#任意のスキャン結果ですので網羅性はありません。


g01pack2
参考:urlquery.netのスキャン結果より

これらの活動がBlackhole exploit kitに関係したものであるかは不明ですが、g01pack exploit kitのシェアが拡大している可能性はありそうです。
とりあえず、対応のおさらいを以下に記載します。

■端末への対応
Javaの脆弱性(CVE-2012-1723)が悪用されていることが確認されています。既に対策済みである組織が多いとは思いますが、念のため最新の脆弱性に対しても対応しておくことを推奨します。

参考URL:
Oracle Java の脆弱性対策について(CVE-2013-2383等)
https://www.ipa.go.jp/security/ciadr/vul/20130417-jre.html
2013年4月 Oracle Java SE のクリティカルパッチアップデート (定例) に関する注意喚起
https://www.jpcert.or.jp/at/2013/at130021.html
WebブラウザでJavaを無効にするにはどうすればよいですか。
https://www.java.com/ja/download/help/disable_browser.xml


■サーバへの対応
改ざんされたウェブサイトへの対応ですが、現在のところ手口が分かっていません。基本的な対応として、
・セキュリティパッチの適用状況
・アクセス制限
・パスワードの強度
などは見直しておくと安心です。また、ホスティングサービスやクラウドサービスなどを利用している場合ですが、管理用のアプリケーション(Parallels Plesk Panelなど)も攻撃対象となりますので注意が必要です。

■IDS/IPS等での対応
g01pack exploit kitに関するシグネチャは主なセキュリティ対策製品により対応済みです。万一、対応されていない場合は、Snortなどのシグネチャを参照ください。

参考:
http://pulsifer.ca/drop/CNDA/snort/snort.doc
https://lists.emergingthreats.net/pipermail/emerging-sigs/2012-September/020415.html


昨年から続いていたBlackHole exploit kitの大規模改ざんと同様に、g01pack exploit kitも過去に大規模なウェブ改ざんにより設置した経緯があります。
恐らく一定の操作は自動化されていることが考えられ、同様の攻撃は継続して行われる可能性があります。
不正に設置されたウェブコンテンツの有無や、SSHなどのメンテナンス経路などに対策の不備が無いか再確認されることをお勧めします。
何か新しい動きがありましたら、随時追記していこうと思います。





OWASP AppSec APAC in Japan

 みなさんこんにちは。Rakuten-CERTの福本です。
 朗報です。前回のOWASP JAPAN Local Chapter MeetingのパネルディスカッションでOWASP AppSecについて話題が取り上げられていましたが、なんと、あのOWASP AppSecがとうとう来年日本で開催されることで正式に決定しました!!日本では初開催になります!

AppSec

 
OWASP AppSecは世界の最先端のセキュリティのベストプラクティスを学べる絶好の機会であり、そして、日本のセキュリティ技術を世界に発信出来る良いチャンスでもあると思っています。そういった場を作ることがOWASP Japanを立ち上げた際の僕たちのひとつの目標だったのですが、こんなに早く実現出来てちょっと驚きです。それもOWASP JapanのLocal Chapter Meetingに毎回大勢の方が参加してくれて、日本のニーズがOWASP関係者に伝わったのが大きかったのかなと思っています。(ちなみに、前回のAppSec APACで岡田さんがOWASP Japanの活動を広報していましたが、多くのOWASP関係者がその参加者数に驚いていましたw)
 さて、Organization Supporterの楽天としてもさらに気合が入るわけですが、来年このイベントの成功させるために、OWASPボードメンバーの力を結集して全力で取り組みたいと思いますので、みなさまの応援とご協力のほどよろしくお願いいたします!そして一緒にAppSec Japanを盛り上げましょう!

制御システムのセキュリティ対策、いつやるか?

2013年1月、アメリカのマイアミでS4(SCADA Security Scientific Symposium)というカンファレンスが行われました。世界中から制御システムセキュリティの技術者が集まり、技術的な話題を中心に議論する世界でも数少ないカンファレンスです。

now




今回のテーマは「NOW」でした。






IfNotUs



IF NOT US, WHO?
(誰がやるか?君でしょ!)

IF NOT NOW, WHEN?
(いつやるか?今でしょ!)



日本でも流行っている「いつやるか?」「今でしょ!」というやつのアメリカ版ですね。
「NOW」というテーマの下、次のような議論が行われました。

議論した内容:
  • 制御システムには暗号化も認証も無いけど、デバイスの性能的に実装するのが難しい。じゃあ、いつ実装するか?
  • 制御システムはライフサイクルが長く、依然として30年前のシステムが使われているが、様々な理由ですぐには置き換えできない。じゃあ、いつ置き換えるか?
  • あれだけStuxnetが話題になっても、多くの制御システムではUSBメモリの使用をやめることができない。じゃあ、いつやめるか?
  • 制御システムが脆弱なことは知っているけど、現実には大人の事情とかがあって対応できない。じゃあ、いつ対応するか?
  • まずいなとは思っているんだけど、経営層が理解してくれないので何もできない。じゃあ、いつ理解させるか?
  • 制御システムが脆弱で何らかの変更や修正が必要だと10年以上前から言われているけど、結局何も変わっていない。じゃあ、いつやるか?

システム破壊の本当の目的は?

韓国でのサイバー攻撃被害が話題です。ATMネットワークへの侵入方法や、その目的など不明な点があり、全容解明にはもう少し時間がかかりそうです。 特に韓国へのワイパー攻撃の歴史でも触れられた、MBR領域、ファイルシステム領域の上書き操作については非常に興味深いところです。

一見、韓国国内の混乱を狙った攻撃であるとの見方が強いようですが、本当の目的は意外なものかもしれません。そこで、このようなシステム破壊行為をする場合、その目的を3つ考えてみました。
 
(1)利用者への妨害のため(脅迫、愉快犯、テロ、etc)
(2)証拠を隠蔽したいため
(3)注目を集めたいため(注意を逸らしたいため)

今回のような大々的な事件となりますと、(1)のケースが思い浮かべてしまいます。しかし、(2)(3)のケースも想定すべきことのように思います。

実際に(2)はしばしば目にします。攻撃者が目的を達成し、自身の痕跡を消したい場合に行います。この場合はMBR領域の破壊くらいが一般的です。一見、OSの障害に見せかけ、利用者に復旧を促す際に行われることがあります。下図はMBR領域が破壊された端末から確認された攻撃者の操作痕跡です。

kill_os

この場合はこっそりと操作しないと意味がありませんので、今回の韓国のケースには当てはまらなそうですが。。。
次に(3)ですが、注目を集めたいので派手に破壊する必要がありそうです。本来の目的が目立つものであればあるほど、注意を逸らすために大きな花火を打ち上げる必要があります。
本当のところは全く分かりませんが、何となく(3)を勘ぐってしまいます。考え過ぎでしょうかね?
しばらく、韓国のニュースから目が離せませんね!

韓国へのワイパー攻撃の歴史

2013年3月20日 14時、韓国の放送局や銀行に対してサイバー攻撃と思われる事態が発生し、約32000台のマシンが攻撃の被害に遭ったと言われています。今回の攻撃に使用されたマルウェアに感染するとハードディスクの内容が消去され、OSが起動不能になる仕組みになっていました。実は韓国では似たような事件が2009年と2011年にも起こっています。ただ、過去2回の事例はDDoS攻撃を行った後に、証拠隠滅を目的としてハードディスクを消去したのではないかと言われているのに対し、今回はDDoS攻撃のようなことは確認されておりませんので犯人の意図は不明です。

参考までに、ハードディスク消去の手口という観点から過去2回の事例との違いを紹介します。事例はWindows XPのものです。
攻撃を受けた後のハードディスクの状態を色分けして表示していまして、だいたい以下のように分類しています。

赤色:文字列等、表示可能なデータ
青色:制御文字
黒色:その他のデータ
白色:0(NULL文字)
黄色:攻撃によって上書きされたデータ

2009年の事例
ディスクの先頭から1MBが意味のない文字列で上書きされます。先頭には「Memory of the Independent Day」というメッセージ、そのあとは「U」が連続して書き込まれます。
特定の拡張子のファイルが消去されますが、ドキュメント系のファイルが主な消去対象ですので、画像や実行ファイル等は生き残ります。
ディスクの先頭(MBR+α)が上書きされますのでOSの起動はできませんが、データ部分は生きていますので一部のデータを復旧することは可能です。

wiper2009image

2011年の事例
ディスクが0で上書きされます。片っ端から上書きしていくので、途中でOS自身が実行不能となりブルースクリーンになります。ここまでされるとデータの復旧は困難です。

wiper2011image

wiperbod2011

2013年の事例
ディスクの先頭が「PRINCPES」という文字列で上書きされ、VBRとデータ領域が一定間隔で「PRINCIPES」という文字列で上書きされます。暗い黄色の部分がMBRとVBRです。OSの起動はできませんが、運良く上書きされなかったデータは生きていますので復旧することは可能です。

wiper2013image

過去2回の犯人と今回の犯人が同一であろうとなかろうと、ディスクを消去するという点において手口が酷似していることは間違いないことから、少なくとも2013年の犯人は過去2回の事例を認識した上で攻撃をしているはずです。完全に修復不能にしようと思えばできたのにも関わらずそうしなかった。その理由を今後も継続調査していきます。

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード