エフセキュアブログ

Web を含む記事

HavexがICS/SCADAシステムを探し回る

 昨年の間中、当社はマルウェアファミリーHavexとその背後にいるグループに目を光らせていた。Havexはさまざまな業界に対する標的型攻撃に用いられていることが知られており、またそれ以前にはエネルギー業界に特別な関心を持っていることが報告されていた。

 Havexの主要なコンポーネントは、汎用のRAT(Remote Access Trojan)とPHPで書かれたサーバである。「Havex」という名前は、サーバのソースコード中にはっきりと認められる。

Havex server source code

 2014年の春には、HavexがICS(Industrial Control System、産業制御システム)に特別な関心を抱き、その背後にいるグループが餌食を侵害するために革新的なトロイの木馬型のアプローチを用いていることに、我々は気付いていた。攻撃者はICS/SCADAの開発元のWebサイトから、トロイの木馬に仕立てたソフトウェアをダウンロードできるようにし、そのソフトウェアがインストールされたコンピュータを感染させるよう試みた。

 我々は88件のHavex RATのバリアントを収集して分析を行った。それらは関心のあるネットワークやマシンに侵入してデータを獲得するために使用されたものだ。この分析には、これらバリアントによって接続された146台のC&Cサーバ(command and controlサーバ)の調査が含まれる。また、被害者を特定する際に、約1500個のIPアドレスの追跡も伴った。

 攻撃者はC&Cサーバとして、主に侵害されたWebサイト、中でもブログサイトを使用した。悪用されたC&Cサーバの例の一部を以下に挙げる。

Havex C2 servers

 我々はまた、攻撃者が使用する追加コンポーネントを特定した。このコンポーネントには、ICS/SCADAシステムが使用する感染済みのマシンから、データを取得するためのコードが含まれている。これは、攻撃者が関心のある企業のネットワークを侵害することに興味を見出しているのみならず、こうした組織のICS/SCADAシステムの制御を得る動機も持っていることを示唆している。この動機の源は、我々には分からない。

感染の媒介者としての、トロイの木馬化されたソフトウェア

 Havex RATは少なくとも以下のチャネルを通じて拡散されている。
  • スパムメール
  • エクスプロイトキット
  • 侵害された媒介サイトに埋め込まれた、トロイの木馬にされたインストーラ
 スパムとエクスプロイトキットというチャネルはかなり直接的な拡散メカニズムであり、ここで詳細に分析を行うのは控える。

 もっとも興味深いのは3つ目のチャネルで、「水飲み場型攻撃」の一形態と考えられる。なぜなら攻撃者は実際の標的へのアクセスを得るために、媒介させる標的、つまりICSベンダーのサイトを侵害することを選択するからだ。

 攻撃者はWebサイトを稼働しているソフトウェアの脆弱性を侵害して侵入し、顧客がダウンロードするための正当なソフトウェアインストーラを置き換えるように見受けられる。

 我々の調査にて、このやり口で侵害されたソフトウェアベンダーのサイトが3つ明るみになった。これらのサイトで提供されていたソフトウェアインストーラはトロイの木馬化され、Havex RATを含んでいた。同様のケースはさらに存在すると我々は疑っているが、まだ確認はされていない。

 当該サイトのコンテンツによれば、この3社はすべて産業アプリケーションで用いられているアプリケーションやアプライアンスの開発に携わっている。3社はドイツ、スイス、ベルギーに本拠を構えている。そのうち2社はICSシステム用のリモート管理ソフトウェアの提供をしており、もう1社は高精細の産業用カメラと関連ソフトウェアを開発している。

 一例として、トロイの木馬化されたインストーラの1つに対する動的分析の結果を一部取り上げる。

Trojanized installer

 正常な、つまりクリーンなインストーラは「mbcheck.dll」というファイルのインクルードは行わない。実際のところ、このファイルはHavexマルウェアである。トロイの木馬化されたソフトウェアインストーラは、通常のインストールの一部としてこのファイルをドロップして実行する。ユーザに動作するシステムが残されたまま、攻撃者は当該コンピュータにアクセスして制御するためのバックドアを手に入れる。

標的となる組織

 我々はこのレポートで分析したサンプルに感染したシステムの一部について場所を特定し、影響を受けた組織を確認した。それには、Havax RATを用いてC&Cサーバへの通信を行っていたIPアドレスを辿った。

 こうした組織はすべて、なんらかの形で産業アプリケーションまたは産業機械の開発あるいは使用に関わっている。被害者の大多数はヨーロッパに位置しているが、本レポートを記述している時点で、少なくとも1社のカリフォルニアの企業がC&Cサーバへデータを送信していることが観測されている。ヨーロッパに拠点を置く組織のうち、2つの組織は技術関連の研究で有名なフランスの主要な教育機関である。別の2つの組織はドイツで産業アプリケーションや産業機器を、もう1つの組織はフランスで産業機器を生産している。さらにもう1つの組織はロシアの建設会社で、構造工学を専門にしているようである。

ICS/SCADAスニファ

 Havexのサンプルコードに対する我々の分析では、その「ICS/SCADAスニフィング」的な振る舞いについても明らかにしている。C&Cサーバは感染したコンピュータに対し、さらにコンポーネントをダウンロードして実行するように指示する。そうしたコンポーネントの1つが、非常に興味深い。そのコンポーネントはLANを1つずつ調べて接続済みのリソースやサーバを探し出すことに、分析中に気付いた。

Havex scans LAN

 さらにそれがマイクロソフトのCOM(Component Object Model)インターフェイス(CoInitializeEx、CoCreateInstanceEx)を用いて、特定のサーバに接続することも分かった。

Havex calls COM

 どのサービスにサンプルが関心を抱いているのかを特定するには、単に上に挙げられているIDを検索すればよい。それで、どんな種類のインターフェイスが用いられているのかが分かる。ちょっとググると、以下の名前が挙がった。

  • 9DD0B56C-AD9E-43EE-8305-487F3188BF7A = IID_IOPCServerList2
  • 13486D51-4821-11D2-A494-3CB306C10000 = CLSID_OPCServerList

 名前に「OPCServer」と含まれていることに注意してほしい。同じ方向を指し示すヒントはまだある。実行ファイルに含まれる文字列でも、何件かは「OPC」を参照している。

Havex OPC strings

 結局OPCとはOLE for Process Controlの略語であり、Windowsアプリケーションがプロセス制御のハードウェアとやり取りをする標準的な方法のことだと分かる。マルウェアの当該コンポーネントはOPCを用いて接続されたデバイスについて任意の情報を収集してC&Cサーバへ返送し、攻撃者が分析を行う。このコンポーネントは機密情報を収集するためのツールとして用いられているように見受けられる。これまでのところ、接続されたハードウェアを制御しようと試みるペイロードは目にしてはいない。

要約

 Havexの背後の攻撃者たちは、巧妙な方法を用いて産業の諜報活動を実施している。ICS/SCADAのソフトウェアインストーラをトロイの木馬にすることは、標的のシステムへのアクセスを得る効果的な方法である。潜在的には、こうしたシステムとして重要なインフラストラクチャも含む。

 侵害されたサーバをC&Cサーバとして使用するやり口は、このグループに特徴的だ。このグループはC&Cサーバを常にプロフェッショナルなやり方で運用しているわけではなく、運用経験の不足を露呈している。これらサーバに接続した、感染しているコンピュータをやっとの思いで監視し、複数の業種から被害者を特定した。

 感染したデバイスに接続しているICS/SCADAハードウェアについての詳細情報を収集するために使われる追加ペイロードがあり、これにより攻撃者がそうした環境を制御することに関心を抱いていることが示唆される。これは今日一般的に観測されているようなパターンではない。

 ここで述べたサンプルについてのSHA-1のハッシュ値は次のとおり。

7f249736efc0c31c44e96fb72c1efcc028857ac7
1c90ecf995a70af8f1d15e9c355b075b4800b4de
db8ed2922ba5f81a4d25edb7331ea8c0f0f349ae
efe9462bfa3564fe031b5ff0f2e4f8db8ef22882

 エフセキュアはこの脅威をBackdoor:W32/Havex.Aとして検知する。

-- Post by Daavid and Antti

AndroidのランサムウェアSLockerは、TORやSMS経由で通信する

 2週間と少し前、Androidの新たなランサムウェアのファミリーである、SLockerを我々は発見した。

 直近に発見されたAndroidマルウェアのKolerと、SLockerが関連しているという証拠は得ていない。しかしながら、Kolerのもたらした脅威をSLockerも成し遂げている。Kolerは実際にはファイルを暗号化しないが、そのように装う。それと異なり、SLockerは端末のSDカードに対して次のような特定のファイルタイプを実際にスキャンする。

slocker (3k image)

 SLockerアプリが起動されると、これらのファイルを暗号化した後、身代金を求めるメッセージを表示する。

Ukraine ransom

 メッセージには、ファイルを復元するためにはオンライン送金サービスにより送金する必要があることが示されている。このメッセージに挙げられている電話番号は、ウクライナのものだ。

 現在のところ、SLockerのファミリーには2つのバージョンがある。1つ目のバージョンではTORを用いて、感染した電話機とマルウェアのC&Cサーバ間の通信用のネットワークを匿名化している。このバージョンではデバッグ情報がすべて有効になっているので、テスト用のバージョンではないかと弊社では推測している。

 SLockerの2つ目のバージョンは、TORが有効になったバージョンと同時期に出現したが、簡素化されている。こちらのバージョンでは(暗号化やハードコーディングされた同一の復号キーを含め)同じコードを共有しているが、デバッグ部分はもはや存在しない。最大の違いは、このバージョンではTORを使用していない点だ。その代わりSMSメッセージ経由で指令を行う。

SLocker permission

 また特筆すべきは、TORを有効にしたバージョンと違い、こちらのバージョンは身代金メッセージの中でロシアの電話番号を掲載し、ロシア通貨を要求しているところだ。

Russia ransom

 我々はさらに深く掘り下げてC&Cサーバを辿り、そのIPアドレスがさかのぼること2005年に、ある個人に登録されていたことを突き止めた。現在は、そこでロシアに拠点を置くWebホスティングサービスが提供されている。

 2つ目のバージョンのSLockerはC&C通信にTORを用いない点において洗練度合が下がるが、依然として活発に開発が行われているように見受けられる。なぜなら、我々が入手した当該バージョンの最新のサンプルには、いまや端末のカメラを用いて写真を撮る機能が搭載されているためだ。今後に渡って、SLockerの作者(達)が開発を続けていく可能性は高い。

—————

Post by — Mikko Hyykoski

GameOver ZeuS用のワンクリックテストサイトを構築

 本日、あなたのコンピュータがGOZ(GameOver ZeuS)に感染しているかを確認する、新たな、そして迅速な方法を当社は発表した。先週、当社を含む業界のパートナーと共に、各国の法執行機関が協力してGOZのボットネットを遮断した。

 GOZは破壊されたわけではなく遮断された、という点を認識するのは非常に重要だ。ボットネットの管理者にとって、近い将来、制御を取り戻すことは技術的に不可能ではない。GOZには100万超台のコンピュータが感染した。時間が最も重要である。

 改善を支援するために本日開始したのが、単にwww.f-secure.com/gameoverzeusを訪れるだけで、あなたのブラウザにGOZへの感染の兆候があるかを確認できるサイトだ。素晴らしい点はソフトウェアを何もインストールする必要がなく、また数秒で終了するところだ。

GOZ detection page

 もっと技術寄りの本ブログ読者なら、どのようにチェックが動作するのか疑問に思っていることだろう。我々はかつてそうしたことを行ったことはないが、ここで詳細について述べるべきだと思う。結局のところ、マルウェア自体にちょっとしたいたずらを仕掛けたのだ。これはいつでもおもしろい。

 GOZは、あるいはもっと言えば他のWindows向けのバンキング型トロイの木馬は、ユーザ名やパスワード、その他の認証情報を盗む目的でブラウザに感染する。Amazon.comに訪れるとしよう。

Amazon login page

 GOZが興味を抱いているサイトに、あなたがログインしようとしていることに気付くと、GOZはブラウザ内部から直接的にあなたの認証情報を盗む。どのようにこれを行うのか?興味のあるアドレスをすべて挙げた設定ファイルを含めているのだ。以下はGOZが追跡しているアドレスのリストの一部だ。

Banks in GOZ config

 お気付きのとおり、当該リストには銀行などの金融機関のアドレスが多数含まれる。GOZは正規表現さえもサポートしており、新たなルールを柔軟に作成できる。正規表現を用いているアドレスは非常に攻撃的になる。

Entries in GOZ config

 「攻撃的」とはどういう意味だ?ええと、たとえば、https://www.f-secure.com/amazon.com/index.htmlというアドレスのサイトを訪れようとする。依然として正規表現がマッチするため、GOZはあなたが本当のAmazonを訪れるところだと考える。つまり我々はこれを用いてGOZのボットに「いたずら」をし、あなたのブラウザが感染しているかどうかをたやすく確認しているのだ。

 それではユーザがAmazon.comを訪れたとき、GOZは実際に何を行っているのだろうか?このマルウェアはブラウザ内部で起動しているので、ログインページに入力しているものを見るだけではなく、Webページをあなたが見る前に改ざんすることもできる。感染したブラウザでユーザがAmazonへ行くと、GOZはページ上に追加的なコンテンツを「挿入」する。以下は、挿入を行う部分のコード片だ。

GOZ code for Amazon

 この余分なコードはログインページに新しいフィールドを追加し、続いてその中身を攻撃者が制御するサーバへと送信する。強調した文字列(LoadInjectScript)は後ほど用いる。

 以上をすべてひっくるめて、我々はどのように当該マルウェアを素早くスキャンできるようにしたのか?

 当社の検知用のページwww.f-secure.com/gameoverzeusは、単に当社のサイト上のページなのだが、「amazon」という文字列を含むアドレスのWebページを読み込む。

iframe on GOZ page

 もし感染していれば、当社のこのページを訪れることで、GOZはあなたがAmazonを訪れると考える。たとえ実際はそうではなくても!続いてGOZは当該Webページに自身のコードを付け加える。我々の「偽の」Amazonページが読み込まれると、「セルフチェック」を行って単純にGOZが加えた変更がページ上にあるかを検索する。上で示した「LoadInjectScript」という文字列を検索するのだ(当社の文字列が見つかるという結果にならないように、分解していることに注意)。

goz_check function

 ページ上に当該文字列が見つかったら、GOZがあなたのブラウザに感染していることが分かる。

 いつもどおり、いくつかの制限はある。GOZがサポートしていないブラウザ(誰かLynx使ってる?あとはネイティブの64ビットブラウザ)を使用している場合、コンピュータは感染しているかもしれないが、ブラウザにはマルウェアの痕跡はない。そのような場合、確認するにはやはり当社の無料のオンライン スキャナを実行することをお勧めする。また、実際に感染しているなら、スキャナを用いて削除する必要がある。

 US-CERTのアラート(TA14-150A)も参照のこと。

 共有すべきリンクはhttp://www.f-secure.com/gameoverzeusまたはhttp://bit.ly/GOZCheckだ。

エフセキュア、テレコム・イタリアとの連携で消費者のマルチデバイスライフを保護

エフセキュアの支援によるテレコム・イタリアの新たなセキュリティサービスが、消費者のスマートフォン、タブレット、およびPCを保護し、安全なオンライン・ライフをサポートします。

エフセキュアはこの度、イタリアの大手通信事業者であるテレコム・イタリアと提携し、テレコム・イタリアの消費者向けモバイル・デバイスのすべての顧客にマルチ・デバイス・セキュリティを提供するはこびとなりました。このTIMProtectと呼ばれる新サービスは、PCやモバイル・デバイス上でブラウジングやオンライン・バンキングを行う際の総合的な保護を提供します。また、同サービスは、子どもたちの安全なブラウンジングを保証し、紛失や盗難の際にもモバイル・デバイスを保護します。

この提携は、消費者のマルチ・デバイス・ライフを反映するものです。消費者の89%がWindows PCを使っているほか、16%がApple PC、39%がAndroidのスマートフォン、そして22%がAndroidのタブレットを使用しています*。また、エフセキュア ラボによると、マルウェアはモバイルデバイスとPCの両方で、これまで以上に複雑に進化し続けています。モバイルのマルウェアは通常、プレミアム課金用の番号にSMSを送信したり、バンキング関連のSMSを転用するなどで、ユーザの知らないところで利益を得ようとしています。

テレコム・イタリアのデバイスおよびサービス部門の責任者、Antonio Andrea Vaccarelli氏は次のように語っています。「通信事業者は、変化するお客様のニーズに迅速に対応しなくてはなりません。エフセキュアとの提携により、すべてのデバイスに対し安全なアクセスを保証できるため、お客様はご自分のスマートフォンを管理し、お子様を容易に守ることができるようになります。」

また、エフセキュアのコンシューマ・セキュリティ担当エグゼクティブ・バイスプレジデントを務めるサム・コンティネンは次のように述べています。「もはやオンラインセキュリティとは、自宅のPCを保護することだけではありません。セキュリティはデバイスに対して変化し続けるニーズに柔軟に対応していく必要があります。世界トップクラスのセキュリティ・サービスを提供してきた弊社の実績をもとに、テレコム・イタリアと連携してお客様のニーズに応えるとともに、安全なインターネットを通じてデジタル・フリーダムを推進できることを大変光栄に思っております。」

高い評価を受けているエフセキュアの技術**に基づくTIMProtectは、高度な技術を通じてあらゆるセキュリティサービスを網羅し、オンライン上の脅威にもリアルタイムで対応します。TIMProtectは、ウイルスやスパイウェア、ハッカー攻撃、個人情報窃盗に対する究極の保護機能を提供するほか、ウェブ・ブラウジングの際に有害なウェブサイトやオンライン攻撃をブロックします。


* エフセキュアの2013年デジタルライフスタイル調査は、15カ国(ドイツ、イタリア、フランス、英国、オランダ、ベルギー、スウェーデン、フィンランド、ポーランド、米国、ブラジル、チリ、コロンビア、オーストラリア、マレーシア)で20〜60歳のブロードバンド加入者6,000人を対象にWebインタビューを実施しました。同調査は、GfKによって行われ、2013年4月に完了しました。

* * エフセキュアは3年連続で、AV-TESTの「Best Protection Award」を受賞しています。

Facebookとエフセキュアによる新たな提携で、マルウェアのクリーンアップをソーシャル化

Facebookは、高い評価を受けているエフセキュアのセキュリティソフトをFacebookユーザ向けの無料サービスとして採用します。

人々は、他のどのような通信手段よりも、ソーシャル・メディアを通じて情報をシェアしています。しかし、ソーシャル・メディアの個人用および企業用アカウントの悪用がしばしば大きなニュースとして取り上げられていることを考えると、これからは、新しい方法でユーザのデジタル・アイデンティティを守っていかなければならない時代です。エフセキュアとFacebookは、世界最大のソーシャル・ネットワークのユーザに安全なオンライン環境を提供するべく、提携関係を結びました。

Facebookは今後、エフセキュアのテクノロジを利用したWebブラウザベースのマルウェアスキャナを無料サービスとして提供する予定です。このサービスは、マルウェアへの感染が原因と思われる不審な活動により一時的にアカウントが停止しているFacebookユーザにご利用いただけるサービスです。コンピュータまたはデバイス上のマルウェアや意図に反する望ましくないソフトは、デバイスの正常なパフォーマンスを妨害したり、個人情報を盗んだり、システムにアクセスするなどの可能性があります。これらは、正規のユーザーアカウントから送信されているように見せかけた悪意あるリンクやスパムを投稿することにより、Facebookユーザやその友達のアカウントを悪用する場合があります。

Facebookでソフトウェア・エンジニアを務めるChetan Gowda氏は次のように述べています。「Facebookを安全にお使いいただけるようにすることは、私たちの仕事の中でも極めて重要です。エフセキュアのアンチウイルス技術の力が私たちの現行システムに加わって、マルウェアのブロックと駆除が実現できることを嬉しく思います。」

また、エフセキュアでプロダクトマネージャを務めるArto Saariは次のように語っています。「Facebookの全世界にわたる目覚ましい発展は、家族や友人との関わり方を大きく変えました。その人気を受け、今度はFacebookがオンライン犯罪の主たる標的となっています。エフセキュアは、Facebookのユーザ基盤がサイバー犯罪者に悪用されることを食い止めるべく、Facebookと提携できることを光栄に思います。」

エフセキュアのマルウェア・スキャンおよびクリーンアップ技術は、Facebookのユーザ・エクスペリエンスへと完全に統合されます。Facebookは、不審な活動をするアカウントを識別すると、クリーンアップ・プロセスにユーザをリダイレクトします。スキャンとクリーンアップは、Facebook内のWebブラウザウィンドウから直接実行できます。クリーンアップ完了後、ユーザはハッカーやスパイウェアに監視されることなく安全にFacebookアカウントへログインすることができます。以下にそのプロセスを示します。

•ユーザが感染したデバイスからログインしようとすると、マルウェア感染に関する通知画面が現れます。そこには、エフセキュアのスキャナの使用を推奨する旨が記載されています。スキャナは検出される脅威の種類に合ったものであるため、デバイスにアンチ・ウイルス・プログラムがすでにインストールされている場合でもこれを実行することが推奨されます。スキャナは最新のもので、実行を完了すると自動的に削除されるため、メンテナンスについて気にする必要はありません。

•ユーザは、マルウェア駆除プロセスをスキップするか、推奨スキャナをダウンロードするかを選択することが可能です。マルウェア駆除プロセスをスキップしたユーザには、後ほど再び実行を促す画面が表示されます。

•スキャナをダウンロードし実行しているユーザは、スキャン中もFacebookやその他のサービスを引き続き利用することが可能です。スキャン完了後、ユーザはFacebookで通知を受け取り、スキャン結果を確認することができます。

ProTip:Appleを使う?パスコードを有効に!

 本日、Appleの興味深いセキュリティニュースが報じられた。どうやら一部のApple機器が、Appleの「iPhoneを探す」機能を通じて乗っ取られてきたようだ。どうやって?脆弱なパスワードを持つiCloudアカウントなど、防御が甘いiCloudアカウントが使われた模様だ。

 iCloudにアクセスした時点で、「iPhoneを探す」の「紛失モード」へアクセスできるようになる。これはその機器をロックし、「見つけて下さったらお礼します。次の番号にお電話を」といったメッセージを送信するために使うことができる。

iCloud, Lost Mode

 あるいは、ゆすりを企てることも可能だ。

 以下は同僚のドイツ人が所有するiPhoneでの例だ。

Find My iPhone

 前述のリンク先によれば、「Oleg Pliss」がPayPalアカウントへの送金を要求している。iPhoneユーザがパスコードを設定していれば、デバイスのロックを解除できる。もし設定していなければ…、問題が生じることになる。

 なお、「iPhoneを探す」機能に「消去」オプションがあることは、お伝えする価値があるだろう。ゆすり以外に、あなたのiPhoneが焼かれる可能性もあるのだ。そしてiCloudがコンタクトやカレンダーへのアクセスを提供していることも忘れてはならない。

 つまり…パスコードの有効化に加えて、あなたのApple/iCloud/iTunesアカウントに強力かつユニークなパスワードを使用する必要がある。もちろん、アプリを購入する際に入力することは煩わしいだろう。しかし、これは払う必要のある対価なのだ。

 あるいは、iCloudの機能を無効にするとよい。

 「Identify the critical accounts to protect, and then make sure the passwords for those accounts are unique and strong.(保護すべき重要なアカウントを特定し、次にこうしたアカウントのパスワードがユニークで強力であることを確認する)」

 To Doリスト:

 1)パスコードを有効に!(必ずしも直ちに求められるわけではない)
 2)自身のApple/iCloud/iTunesのパスワードをリセットする

 オプション(ただし強くお勧めする):

 3) パスワードマネージャを入手する

小さな企業の大きな機密を守る – ヨーロッパのクラウドで安全を

younited for Businessがあれば、中小中堅企業がセキュリティやプライバシー、信頼性への懸念から、クラウドコラボレーションにより得られる生産性のメリットを逃すことがなくなります。

クラウドコラボレーションは中小中堅企業に多くのメリットをもたらします。しかし、多くの企業がセキュリティやプライバシーへの懸念から、クラウドの利用を躊躇しています。エフセキュアのyounited for Businessではこれらの懸念が払拭されるため、中小中堅企業はクラウドによる生産性および省コストのメリットを十分に実現できるだけでなく、企業の極めて重要なデータが安全に守られ、かつ自分たちの管理下にあることを実感できます。

ファイルの同期および共有ができるクラウドソリューションを利用していない企業の45%が、利用しない主な理由として不十分な管理やセキュリティの問題を挙げています*。さらに、スノーデン氏による内部告発によって、プライバシーに対する企業の懸念はさらに大きくなっています。

エフセキュアのコンテンツクラウド担当バイスプレジデント、ティモ・ラークソネンは次のように述べています。「あの企業のソフトは脆弱なのでは? 適切なプライバシー保護対策が講じられているのか? 抜け道があるのでは? というように、企業は極めて重要な情報や企業の機密を他の企業の手にゆだねることに懸念を抱いています。セキュリティ業界で25年の実績を持つエフセキュアがホストするyounited for Businessは、ヨーロッパのクラウドにおいて堅固なセキュリティと暗号化の機能を提供します。」

クラウドで、小が大を兼ねる


中小中堅企業は常に少ないリソースを最大限に活用する方法を模索しています。クラウドなら、小が大を兼ねるため、そのニーズに完全に応えることができます。管理すべき物理ハードウェア、大容量のファイルが添付されたメール、ITへの投資、各種デバイスに分散しているファイルのすべてを少なくできます。younited for Businessを使えば、プロジェクト管理やワークフローが改善され、場所を選ばずどこからでもビジネスの情報へ即時にアクセスでき、これらすべてが生産性と効率性の向上につながります。

コラボレーション:プロジェクトに従事することに関しては、メールでは限界があります。younited for BusinessのGroup Space機能なら、チームの全員が最新バージョンのファイルを使用して、共通のプロジェクトに参加できます。従業員はパートナーや顧客とファイルを共有できるため、外出先でのコラボレーションも容易になります。

いつでも、どこからでもファイルにアクセス:従業員がオフィス以外の場所で働くことはこれまで以上に一般的になっています。必要なファイルに簡単にアクセスできることは、事業を展開していくうえで重要です。場所やデバイスに関わらずファイルにアクセスできるため、外出先でも仕事をすることが可能になります。

データの消失からの保護:デバイスは変更されることがありますが、企業のデータは常にバックアップされます。また、バージョン管理に合わせて遡ることができるほか、デバイスに何が起こってもデータが従業員以外の目に触れることはありません。

younited for Businessは、昨年コンシューマ向けにリリースされたyounitedの中小中堅企業バージョンです。この製品はエフセキュアのターンキーのクラウド型セキュリティサービスである、プロテクション サービス ビジネス(PSB)と同じポータル経由で管理されるため、セキュリティとクラウドコンテンツの両方を容易に一元管理できます。

younited for Businessは現在ヨーロッパで販売されており、5 GB、100 GB、500 GBの3つのオプションが用意されています。同製品は、エフセキュアの信頼のネットワークで結ばれた代理店から購入できます。


* エフセキュアの2013年デジタル企業調査では、従業員数500人以下の企業において、ソフトウェア購入の決定権または決定に対する影響力を持つ人々を対象にWebインタビューを行いました。調査はドイツ、イタリア、フランス、英国、スウェーデン、フィンランド、ポーランド、米国の8カ国で行われ、各国につき最低100名、計805名からの回答が得られました。回答者の67%が男性で、37%が女性でした。同調査はGfKによって2013年11月に実施されました。
* * 2014年5月27日現在、younited for Businessの日本での提供は未定です。

モバイル脅威に対する有効な対策

ますます巧妙化するモバイル脅威に対し、エフセキュアの最新版モバイル脅威レポートで紹介されている対策方法についてご案内します。

デバイスにロックをかける


オンラインベースの攻撃に対する懸念が広がっているとはいえ、デバイスをマルウェアに感染させるのに最も容易な方法は、直接ひそかにインストールすることです。まずデバイスの物理的なセキュリティを保護してください。デバイスをロックすることで、誰かがあなたの気づかないところで設定を変更したり、監視ツールやスパイウェアなどのアプリをインストールしたりするような事態を防ぐことができます。

盗難保護対策を講じる

盗難保護対策を利用すれば、デバイスを取り戻すことが不可能だと思われる場合に、リムーバブルメディアを含むデバイス上のデータをリモートで消去することが可能です。盗難対策ソリューションには、デバイスの位置を確かめたいときのためのロケーションマッピングやアラーム起動機能などが含まれます。

権限の要求を確認する

Playストアまたはその他のソースからアプリをダウンロードする際には、要求される権限の一覧を確認してください。インターネットへの接続やファイルを外部ストレージに保存する必要がありますか。あるいはSMSメッセージの送信を許可する必要はどうでしょうか。そうした権限が必要な理由を開発者のサイトで確認し、またレビューを読んで他のユーザの意見を参考にしてください。

ダウンロードしたアプリをスキャンする

アプリをダウンロードした後は、インストールする前に、信頼できるモバイル向けアンチウイルスソフトを使用してスキャンを実施してください。これは「沈黙」の動作、すなわちユーザに通知されることなく許可されている動作を確認する手段です。アンチウイルスソフトのスキャン結果に問題がなければ、安心してアプリのインストールに進むことができます。

信頼できるソースからのみダウンロードする


Android端末では、Playストア以外のソースからのアプリのインストールはブロックされるようにデフォルト設定されています。お使いのデバイスがPlayストアのアプリのみを許可しているかどうかは、[設定]>[アプリケーション]>[提供元不明のアプリ]から確認できます。チェックボックスにチェックが入っている場合は、Playストア以外のアプリがインストールできる状態になっていることを意味しますので、チェックを外してください。

モバイル脅威の最新の詳細については「2014年第1四半期モバイル脅威レポート」を参照してください。

当社がフェイスブックとのパートナーシップから学んだ3つの教訓

 火曜日、Facebook Securityはマルウェアのクリーンアップを容易にするための新たな取り組みを発表した。そして、その取り組みに当社が参加することを非常にうれしく思っている。エフセキュアは、マルウェアのクリーンアップを行うベンダーとして現在パートナーとなっている2社のうちの1社だ。

 10億人超のユーザがいるフェイスブックは、脅威を検知するのにうってつけの極めて類を見ない有利な位置にいる。他ではほとんどできない規模で、パターンを確認できるのだ。非一般的なブラウザプラグインをインストールさせるスパムリンクを送り込むユーザアカウント…、そう、こうしたアカウントはマルウェアに影響を及ぼされているコンピュータから接続している。では、それについて何をすべきか?

 我々が参画したのはそこだ…。

 Facebookに焦点を合わせたマルウェアの症状を特定すると、Facebookはログイン中に以下のプロンプトを案内する。

Facebook, Your Computer Needs To Be Cleaned

 次に、ユーザに当社のOnline Scannerをダウンロードする選択肢を提示する。

Facebook, F-Secure Online Scanner

 ダウンロードと起動が完了すると、ユーザはFacebookへの投稿を続けることができるようになる。

 当社のスキャナはバックグラウンドで実行され、終了するとFacebookの通知を生成する。

Facebook, F-Secure Online Scanner: finished

 Facebookに焦点を合わせたマルウェアがスキャンを促すトリガーとなったとしても、当然ながら当社のスキャナは、存在するならさらに多くの脅威を検知する。もし困難なケースが発見された場合、Facebookは当社のUIを前面に移動する。

 このプロジェクトにおける、当社のサービスマネージャ「Chanki」は以下の見解を述べている。

 1 — 必ずしも悪意があるというわけではないが、デフォルトでクリーンだとは分類しがたいような、疑わしいインストーラが大量にある。正当な使用法もある、共通プラットフォームを活用するアイテムを複数インストールするようにインストーラが設定されている場合、良いものと悪いものを区別するのは課題となる。

 2 — 我々はまた、FirefoxおよびChrome上の悪意のあるブラウザ拡張の分類、検知、削除を扱う方法を考え出す必要がある。これらのブラウザ拡張は、Facebookのプラットフォームに対して非常に攻撃的な方向性を示している。その典型は、トルコ発祥のマルウェアKilimなどのファミリーだ。また、このブログで以前取り上げたことがあるFBSuperといった、それより以前の攻撃もある。攻撃対象はWin32 OSに留まらない。前述のブラウザに代表されるプラットフォームについても考慮に入れる必要がある。

 3 — 我々は、マルウェア作者にとってBitcoinがいまだに大きな動機付けになっていることも発見した。Bitcoinのマイナーを拡散、インストールするベクターとしてFacebookを活用している2つのマルウェアファミリー、NapolarおよびLecpetexを識別した。

 上出来だ、Chanki!

 当社のOnline Scannerを試したいなら、Facebookのプロンプトを表示する必要はない。ご自由にダウンロード、実行してほしい。USBのツールキットに加えよう。最新の検知のためにオンラインでのアクセスが必要だが、Webベースではない。複雑な脅威が発見された場合、仮想Linuxマシン内にリブートしてからWindowsへ戻る機能など、このスキャナには巧妙な機能がある。すばらしい。

F-Secure Online Scanner UI: Start

 最新のバージョンはいつでもf-secure.com/online-scannerで見つけ出せる。

オンラインプライバシー:皆さんにとっての意味

コロンビアの作家でノーベル文学賞受賞者のガブリエル・ガルシア・マルケス氏はかつて、「すべての人は、公的な生活、私的な生活、そして秘密の生活という3つの生活を送っている」と語りました。

公的な生活、私的な生活、そして秘密の生活。これらが意味することは、特にデジタルの世界では、人によって異なります。ある人は、ペットの猫についてブログに投稿することが自分自身を公にし過ぎていると考えるかもしれません。一方で、日常のあらゆる出来事をビデオでブログに投稿することが当たり前になっている人もいます。

私的な生活という点についてですが、人によっては、お互いにやり取りする従来の電子メールは個人的なコミュニケーションであると思うかもしれません。しかし、技術に詳しい人は、あらゆるコミュニケーションをエンドツーエンドで暗号化し、自分の身元情報を常に匿名にしておきたいと考えるかもしれません。このことは、VPN、匿名化サービスや電子メール暗号化のようなテクノロジーを用いれば可能です。

オンラインで秘密の生活を送るということも、人によって意味が異なってきます。一般的な人であれば、自分の実際の情報を明かしたくないサイトにアクセスする際には、いつもとは違うJohn.Doe@dummy.tldなどの身元不明の電子メールアドレスを使うかもしれません。https://mailinator.com/は、オンデマンドの使い捨ての電子メール受信トレイを使うのに役立つサービスです。その他の人にとっては、Webでの秘密の生活は、闇に包まれた活動を意味するかもしれません。つまり、Silk Roadのような市場の運営といった非合法活動の隠蔽、ボットネットの作成と運営、RATの実行やビットコインマイニング用のマルウェアやキーロガーの作成などといった活動です。

これまでお話ししたように、それぞれの生活の意味は、人によって異なります。知らないことを幸せであると感じる人もいます。こうした人は、自らの安全を保ったり、オンライン上の身元情報や所有物の乗っ取りと悪用を防いだりするためのわずかな手順を踏まないことで、自分のオンライン上の身元情報に対して、どのようなことが起こる可能性があるのか(そして残念なことに、その結果として何が起こるのか)を知りたいとは思いません。

公の生活、私的な生活、そして秘密の生活という概念の一つひとつを、今後、ブログへの投稿で詳しく説明していこうと考えています。そこでは、ネットサーフィンの際に身元情報を保護する方法についてのヒントもお知らせします。それまでの間、この3つの生活が、皆さんにとって、どのような意味をもつのか考えてみてください。


「ポリス・ランサムウェア」がAndroidのエコシステムに拡大

 クライムウェアでは、Windowsベースの技術がAndroidへと着実に移行している。フィッシング、偽のアンチウィルス詐欺、バンキング型トロイの木馬のコンポーネントと見てきたが、今では…ランサムウェアだ。

 そう。Android用の「ポリス・ランサムウェア」である。当社がこれに付けた名前はKolerだ。

main screen

 クライムウェアのエコシステムは、日常的に接触していたAndroidシステムを長い間、注目していた。ランサムウェアが飛躍を遂げようとしているのを目にするのは、実際のところ大きな驚きというわけではない。

 以下に当該ランサムウェアがどのように動作するのかを示す。

 ブービートラップが仕掛けられた(ポルノ)サイトをAndroid端末で訪れると、セキュリティ侵害が発生する。続いてマルウェアは動画プレイヤーを装って、インストールを求める。これは「enable unknown sources(未知のソース)」の設定がどのように指定されているかに依存する。

 インストールが完了すると、Kolerは電話機の個人情報をリモートサーバへ送信する。この後、不法なポルノサイトにアクセスしたことで電話機がロックされた旨を伝えるWebページをサーバが返す。ロックを解除するために、罰金を支払うように言われる(身代金)。

 Kolerはファイルを暗号化すると主張するが、実際には何も暗号化されない。

 以下のドメインは、Kolerのリモートサーバとしてハードコーディングされている。

  •  mobile-policeblock.com
  •  police-guard-mobile.com
  •  police-mobile-stop.com
  •  police-scan-mobile.com
  •  police-secure-mobile.com
  •  police-strong-mobile.com

 現時点で、Kolerのサーバ群はオフラインだ。Googleのキャッシュで1台のサーバのみ(職場閲覧注意の)コンテンツが見つかるが、マルウェアは削除されている。これらのサーバは米国にホストされている(いた)。whoisでは、電話番号などデンマークおよびロシアのコンタクト情報が出てくる。

 現在のところ、ローカライズした各国のバージョンが30か国以上で見つかっている。コンテンツはWindows版の「ポリス・ランサムウェア」から移植されており、モバイルブラウザ用に整形されている。

 Kolerを削除するには:

 このランサムウェアは戻るボタンを無効にしているが、ホームスクリーンボタンは有効だ。ユーザはたった数秒で、電話機の設定を削除したり、出荷時の設定に復旧したりできる。

 別の選択肢は、サービスメニューに戻り、そこからKolerを削除する方法だ。

 Kolerはまた、adb.exe経由でデバイスへアクセスするのを阻害する。シェルは起動できるが、ファイルの閲覧は許可されていない。

 詳細については、当社のTrojan:Android/Kolerの説明から得られる。

 Analysis by — Mikko Hyykoski

巧妙化するモバイル脅威

エフセキュアの最新版モバイル脅威レポートによると、モバイル脅威の大半が金銭詐取を目的としており、またボットネットやマルウェア開発ツールの存在が確認されるなど、脅威が巧妙化しています。

主目的は金銭詐取

2014年第1四半期にエフセキュアラボが検出した新たなモバイル脅威のファミリーもしくは亜種の88%が、不正なアプリのインストールによって有償のSMSを送信するなどの手段で、金銭的な詐取を目的としていることが判明しました。

モバイルのボットネットの広がり

新しい脅威のファミリーや亜種の19%は、秘かにリモートのC&C(コントロール・アンド・コモンド)サーバヘ接続します。不正なサーバに接続したモバイル・デバイスはボットネットを構成し、C&Cサーバをコントロールする攻撃者によって、不正な行為を実行する踏み台として悪用されます。このような不正な行為には、悪意あるプログラムのインストール、情報の収集、SMSの送付が含まれます。

ツールキットの登場

2014年第1四半期は、モバイル脅威の開発の転換期でもありました。そのひとつとして、モバイル脅威のツールキットDendroidの登場が挙げられます。DendroidはAndroid用のトロイの木馬の開発キットで、技術的なスキルを持たなくてもマルウェアの作成を容易にします。過去、PCプラットフォームの脅威の作成をエクスプロイトキットが容易にし拡散させたように、今後はAndroidを標的にした脅威が益々広がることが懸念されます。

モバイル脅威の最新の詳細、また脅威から身を守るためにできる対策などについては「2014年第1四半期モバイル脅威レポート」を参照してください。

Android ‐ 依然として最多のホスト攻撃

2014年第1四半期の新たなモバイル脅威の大半はAndroidユーザをターゲットとし、サイバー犯罪者は、これまでにないAndroidプラットフォームでの数々の脅威によってその現状を「刷新」しました。

エフセキュアの最新版モバイル脅威レポートによれば、2014年第1四半期にエフセキュアラボが検出した新たなモバイル脅威の99%以上がAndroidユーザを標的にしていました。検出された新種の脅威ファミリーとその亜種277件のうち、275件がAndroidを標的にし、iPhoneとSymbianはそれぞれ1件ずつでした。前年同期を見てみると、新種の脅威ファミリーとその亜種は149件で、Androidを標的としていたのは、その91%でした。

2014年第1四半期ではこれまでにはなかったAndroidマルウェアが多数検出されています。これは、モバイル環境における脅威が精巧さと複雑さの面で進化し続けていることを示しています。当概四半期には、Litecoinなどの仮想通貨を採掘するためにデバイスをハイジャックする、暗号通貨(クリプトカレンシー)のマイナー(採掘者)が初めて確認されました。またブートキットも初めて見つかっています。これはデバイスの起動ルーチンの最初期段階で打撃を与える、検出や駆除が極めて困難なものです。さらにTorトロイの木馬や、Windowsでのインターネットバンキングを狙うトロイの木馬も初めて確認されています。

エフセキュアラボで主席研究員を務めるミッコ・ヒッポネンは次のように述べています。「こうした進化はマルウェアの作成者が目指す方向に同調している兆候を示しています。今後数カ月のうちにもっと多くのことが判明するはずですが、たとえば、携帯電話がますます高度になることで、サイバー犯罪者がこれらを利用し、暗号通貨を採掘して利益を手にすることが可能になっているのです。」

エフセキュアが第1四半期に評価した中で、英国が最も多くのモバイルマルウェアに遭遇し、ユーザ1万人当たり15〜20ファイル(500人当たり1ファイル)のマルウェアファイルがブロックされました。米国、インド、ドイツでは、それぞれ1万人につき5〜10のマルウェアがブロックされ、サウジアラビアとオランダでは、1万人につき2〜5のマルウェアがブロックされています。

悪質な作為

デバイスに感染するとモバイル脅威はどのような悪意ある行為を行うでしょうか。本レポートでは、モバイルを狙うトロイの木馬の83%がプレミアム課金用の番号、またはSMSベースの購読サービスにSMSメッセージを送信しており、これが悪質なアクティビティの中で最も一般的であることがわかっています。

以下、モバイルを標的とするトロイの木馬による一般的なアクティビティの一覧です。

  • SMSメッセージをプレミアム課金用の番号に送信する
  • 要求していないファイルまたはアプリケーションをデバイスにダウンロードまたはインストールする
  • デバイスの位置またはオーディオ/ビデオを密かにトラッキングし、ユーザを監視する
  • 実際には役立つ機能がないモバイルAVソリューションになりすます
  • ウェブサイトに密かに接続してそのサイトのアクセス数を水増しする
  • バンキング関連のSMSメッセージを密かに監視して詐欺に流用する
  • ファイル、契約書、写真その他の私的データなどの個人情報を盗用する
  • 通常は無料の正規アプリケーションを利用、更新またはインストールするときに「料金」を請求する

iPhoneおよびSymbianの詳細、また脅威から身を守るためにできる対策などについては「2014年第1四半期モバイル脅威レポート」を参照してください。
オンラインバンキングやオンライン閲覧に関する最高のAndroidセキュリティのほか、ペアレンタルコントロール、アプリケーションスキャニング、盗難防止などの機能については、30日間無料のエフセキュア モバイル セキュリティをお試しください。Google Playでも入手可能です。

2014年第1四半期モバイル脅威レポート

 当社の2014年第1四半期のモバイル脅威レポートが公開された!扱っている内容について、以下にいくつか取り上げる。

 新たに発見された脅威の圧倒的多数はAndroidに対するもので(これに驚きはない)、当該期間に目にした新しいマルウェア・ファミリー277件のうち275件を占める。iOSおよびSymbianの新しいマルウェアはそれぞれ1つに過ぎない。

 当社のMobile Security製品のユーザのほとんどが、第1四半期にトロイの木馬に見舞われたことが報告された。これは(主にFakeinstおよびSMSSendの両ファミリーによるもので)SMSを秘かに送信する形態を取る。Android OSの4.2への更新(プレミアムレートのSMSメッセージの送信時にユーザの確認が求められる)が、こうしたトロイの木馬にどのような影響をもたらすか、興味深く見守っている。

 今四半期はモバイルマルウェア開発が盛んで、数々の「初めて」が報告された。まずはC&Cサーバとの通信を隠ぺいする目的でTorが使われた初めてのモバイルマルウェア、Trojan:Android/Torsm.Aがある。初のブートキットTrojan:Android/Oldboot.Aや、電話機を暗号通貨の秘かなマイナーにしようとするトロイの木馬(Trojan:Android/CoinMiner.A)も報告された。

 さらにDendroidというツールキットが挙げられる。これは、いくつかのボタンをクリックするだけでAndroid用のトロイの木馬が作成できることを請け負っており、またどうやら永久保障であるようだ。かつてPCベースの脅威として、ウィルス構築キットやエクスプロイトキットがそうであったように、Dendroidは技術スキルのない人が自身でマルウェアを作成するのをぐっと身近にする。

 そしてこれはすべて2014年の最初の3ヶ月のことなのだ。


 詳細についてはモバイル脅威レポートにある。これはラボのサイトや以下の画像をクリックすると入手できる。2つのバージョンが用意されている。

   •  Web閲覧用(PDF)

2014Q1_MTR_web_small

   •  印刷用(PDF)

q12014_mtr_banner_print_small

OpenSSLにおける ’HeartBleed’脆弱性のエフセキュア製品への影響

HeartBleedは、OpenSSLの暗号化ライブラリにおける重大なセキュリティの脆弱性 (CVE-2014-0160)です。このライブラリは、オンラインのサイトやWebベースのサービスで安全な通信を提供するために広く使用されています。この脆弱性は、攻撃者が痕跡を残すことなくサーバのメモリから情報を読むことを潜在的に許容します。つまり、Webサーバの秘密鍵情報やユーザパスワードのような非常に機密性の高い情報が、攻撃者によりコピーされた可能性があります。

エフセキュア製品の中にも、当該セキュリティ勧告の影響を受ける製品・サービスが存在します。

当該セキュリティ勧告は、以下のURLで追加情報のアップデートを行います。

http://www.f-secure.com/ja/web/business_jp/support/support-news/view/story/1450043


リスクファクター:  重大  (低/中/高/重大)


影響を受ける製品とバージョン:
  • エフセキュアMicrosoft Exchange & XenAppセキュリティ 10.00 – 11.00
  • エフセキュア Windowsサーバ セキュリティ10.00-11.00
  • エフセキュア プロテクションサービスビジネス サーバ10.00
  • エフセキュア プロテクションサービスビジネス メールサーバ10.00

影響を受けるプラットフォーム:  上記製品がサポートする全てのプラットフォーム

<<<2014年4月14日追加>>>

1) 2014年04月14日19:00現在、以下の製品に Hotfix 1 がリリースされています。各製品のダウンロードの Hotfixes の項目を参照ください。 上記の対応における記事にも Hotfix のリンクや適用方法が記載されていますので、合わせてご参照ください。
  •  サーバセキュリティ、および、メールとサーバセキュリティ 10.x - 11

        - F-Secure サーバセキュリティ 11.0 Hotfix 1
          http://www.f-secure.com/ja/web/business_jp/support/downloads/-/carousel/view/135
        - F-Secure サーバセキュリティ 10.xx Hotfix 1
          http://www.f-secure.com/ja/web/business_jp/support/downloads/-/carousel/view/135/10.x
        - F-Secure メールとサーバセキュリティ 11.0 Hotfix 1
           http://www.f-secure.com/ja/web/business_jp/support/downloads/-/carousel/view/134
        - F-Secure メールとサーバセキュリティ 10.xx Hotfix 1
           http://www.f-secure.com/ja/web/business_jp/support/downloads/-/carousel/view/134/10.x

 

2) 2014年04月14日19:00現在、以下の製品で MultiFix がチャネル配信済です。

  • PSB サーバセキュリティ、および、PSB Emailサーバセキュリティ 10.00
   「自動更新」→「ダウンロード」において、"PSB ESS 10.00 MF01" (PSB ESSの例)が表示されていれば適用済です。

<<<ここまで>>>

注意:  以下の製品は影響を受けません。
  • エフセキュア クライアント セキュリティ
  • エフセキュア アンチウイルス ワークステーション
  • エフセキュア Linuxセキュリティ
  • エフセキュア アンチウイルス Linuxゲートウェイ
  • エフセキュア ポリシーマネージャ
  • エフセキュア プロテクションサービス ビジネス ワークステーション
  • エフセキュア プロテクションサービス ビジネス 管理ポータル
  • エフセキュア プロテクションサービス ビジネス Linux

---【お問い合わせ】-----------------------------------------------------

エフセキュア株式会社

■ 本件に関する技術的なお問い合わせ窓口
TEL.045-440-6620
E-mail:anti-virus-japan@f-secure.co.jp
  
■ 申請等に関するお問い合わせ窓口
TEL.03-5545-8940
E-mail:japan@f-secure.co.jp
  
□ 製品一般情報URL   
http://www.f-secure.com/ja_JP/products/business/
  
□ 製品サポート情報URL
http://www.f-secure.com/ja_JP/support/business/

ヴィンテージ:ファッションや家具には魅力的だが、 ソフトウェアには無用

最近のエフセキュアの調査では、10社中4社の中小中堅企業が古いソフトウェアを使用していることを報告しており、データ漏洩に対し無防備な状態にあります。

なんらかの商品を購入して、長い期間保管しておけば、それはやがてヴィンテージ化します。粋で独特の味を出し、過ぎ去った日々へと時間を戻してくれるヴィンテージは、ファッションや家具、車にとっては魅力的でも、商用ソフトウェアにとって古いということはセキュリティリスク以外の何物でもありません。エフセキュアの調査では、多くの企業が古いソフトウェアを使用することで会社の資産を大きな危険にさらしていることがわかっています。

94%の中小中堅企業は、ソフトウェアを常に最新の状態にしておくことが重要であると考えています。しかし、現実にはそのようになっていません。自社のソフトウェアが常に最新の状態であると答えた企業はわずか59%、ソフトウェアを最新の状態に保つのに充分なリソースがあると答えた企業はわずか63%にすぎません。

ソフトウェアを最新の状態に保つことは、ビジネスでのセキュリティ全体において非常に重要な要素の1つです。古いソフトウェアには、サイバー犯罪者が企業ネットワークへの侵入経路として悪用可能なセキュリティ上の欠陥が潜んでいます。エフセキュアラボが検出したマルウェアトップ10の70%から80%は、ソフトウェアを最新の状態にしておけば防ぐことができたものです。

ソフトウェアアップデートは長時間を費やす

企業は、ソフトウェアのアップデートに1週間当たり平均11時間の時間を費やしていると報告しています。企業の規模が大きくなるほど、その時間は増えています。従業員数50人未満の企業では、1週間当たりの平均時間が3時間であるのに対し、従業員数が250人を超える企業ではこの時間は15時間以上になります。

エフセキュアのコーポレートセキュリティ担当バイスプレジデント、ペッカ・ウスヴァは次のように述べています。「アップデートに企業が費やす時間については、ほんの氷山の一角に触れるだけですが、ありがちな誤解として、問題がOSにあると認識されていることが挙げられます。しかしそれは誤りです。OSは、十分にメンテナンスが施され、アップデートが行われています。深刻なのは、企業や個人が使用するサードパーティのアプリケーションなのです。いくつか例を挙げるとSkype、Adobe Reader、さまざまなプラグイン機能を持つブラウザ、Javaなどが該当します。皆様はご自分のデバイスに何がインストールされているかをご存知でしょうか。」

一方、古いソフトウェアに潜む脆弱性を狙ったサイバー攻撃は増え続けています。そして、新種の脅威というのは、数日や数週間ではなく、秒単位で作成されています。

従業員が個人所有のソフトウェアを使用

現在では従業員は個人所有のデバイスを持ち込んでおり、調査を行った企業の約半数は従業員による個人所有のソフトウェアの使用も容認しています。企業の規模が小さいほど、この傾向は顕著になります。従業員数が50人未満の企業の56%が容認しているのに対し、従業員数が250人を超える企業で容認しているのは39%です。また、フィンランド(53%)、スウェーデン(59%)では比較的高い割合で容認され、ポーランド(30%)やフランス(36%)では、容認度が低くなっていることが報告されています。

67%の企業では、個人所有のソフトウェアを使用する従業員は、自分たちでアップデートを行わなければなりません。しかし、個人がソフトウェアを常に最新の状態にしている保証はないため、これはリスクの高いポリシーということになります。従業員数が50未満の企業では、81%の従業員がアップデートを自分で責任を持って実施しなくてはなりません。また、企業の30%はMicrosoftのアップデートにしか対応していません。

ソフトウェア アップデータ : ソフトウェアを最新の状態に保つ、従来とは異なる最新の方法

ウスヴァは、企業のすべてのコンピュータとデバイスのソフトウェアすべてを最新の状態に保つ方法は、そのプロセスを自動化するほかないと語ります。「ソフトウェアメーカーは週ベースで、または長くても月ベースでアップデートのリリースを行います。これらのアップデートを手動で行おうとするのは、負け戦に挑むようなものです。ソフトウェア アップデータの自動化機能に全社的なセキュリティアップデートをすべて任せることで、貴重な時間やリソースを他の作業に充てることができるようになります。」

ソフトウェア アップデータはエフセキュア プロテクション サービス ビジネス(PSB)の機能の1つです。ソフトウェア アップデータを使えば、企業は従業員がインストールしたソフトウェアでも、常に最新の状態に保つことができます。プロセス全体を自動で完結することができるのです。ソフトウェア アップデータは、ソフトウェアの脆弱性を狙った攻撃から企業ネットワークを保護するために役立ちます。また、ソフトウェア アップデータはエフセキュアのその他の法人向け製品にも利用可能です。

ヴィンテージは、ファッションだけに留めておきましょう。昨日のソフトウェアは今日の時間や費用の無駄であり、明日の信頼や重要なデータ喪失のリスクとなります。

* エフセキュアの2014年デジタル企業調査は、8カ国(ドイツ、イタリア、フランス、英国、スウェーデン、フィンランド、ポーランド、アメリカ合衆国)で1〜500名の従業員(平均200名)を有する企業を対象にWebインタビューを実施しました。同調査は2013年11月に実施されました。

管理者達へ:Heartbleedの修正するときに設定基準を見直そう

 とにかくSSLの更新は必要なので、設定が最近の基準に沿っているかについても確認しようではないか。

 Heartbleedについてたくさんの大騒ぎがあったから、管理者ならすでに何をすべきか知っているだろう。

 1. 脆弱なバージョンのOpenSSLを使っているものをすべて特定する
 2. 最新バージョンのOpenSSLに更新する
 3. 古いプライベートキーとSSL証明書は漏えいした可能性があるので、新しいものを作成する
 4. 古い証明書を失効にする

 だがサーバの設定を触って、新しいSSL証明書を作成しなければならないのなら、証明書生成の設定やサーバの設定にも手を伸ばすことをお勧めする。HeartbleedはSSL/TLSの実装における問題だけではない。プロトコルを下手に選択したり、暗号方式が弱いと、Heartbleedのバグと同等に危険になり得る。

 OWASP Transport Layer Protection Cheat Sheet(Open Web Application Security Projectによるトランスポート層保護についてのチートシート)を一読することを推奨する。

 そしてボーナスポイントのチャンス!

 5. PFS(Perfect Forward Secrecy)を実装する。これは件のOWASPのチートシートの「Prefer Ephemeral Key Exchanges」というルールのところに記載がある。

 詳細については、EFEの「Why the Web Needs Perfect Forward Secrecy More Than Ever(なぜかつてないほどWebにPFSが必要なのか)」というポストを参照してほしい。

追記:

 もう1つ追加する。

 6. トランスポート層のセキュリティのみに依存してはならない。もしデータがクリティカルであるなら、実装において追加的な保護を用いる。

 一例を挙げるならYounitedだ。「How do I turn on advanced login authentication?(高度なログイン認証を有効にする方法は?)」というサポートの質問を参照してほしい。

younited's 2FA

 2要素認証だ。提供してほしい。お願いだ。

更新:

 プライベートキーの変更が当然必要なことや、古い証明書を失効にすることを明確にする記述を追加した。ありがとう。@oherrala.

サポート終了後のWindows XP対応策

本日2014年4月9日をもって、マイクロソフトのWindows XPのサポートが終了します。まだ上位オペレーティング・システムに移行が完了していない場合、最低限のセキュリティを確保するためには、どのようにすればよいのでしょうか。

Windows XPの延長サポートが終了になった後は、脆弱性が発見された場合にも修正パッチは提供されません。過去2010年7月13日にWindows XP SP2のサポートが終了した際には、その2日後に脆弱性を悪用したマルウェアStuxnetによるセロデイ攻撃が発生しています。このようにサポートが終了したオペレーティング・システムを使用し続けることには極めて大きな危険が伴います。エフセキュアのデスクトップ向けの製品では、2016年6月30日までWindows XPのサポートを延長いたしますが、さらになるべく安全にWindows XPを使用し続けるためには、幾つかの対策が必要になります。なおこれらの対策は、あくまでも上位のオペレーティング・システムへ一刻も早く移行するための経過処置であり、完全にセキュリティのリスクを回避できるものではありません。

法人での対策

1.業務上インターネット接続が不可欠な端末以外はインターネットに接続させないようにする

2.ゲートウェイ・レイヤでウイルス対策を行う
社内と社外のネットワークの境界であるゲートウェイ・レイヤでウイルス対策を行い、社内のネットワークに接続されているPCへ、脆弱性攻撃が届かないようにします。

3.危険なWebサイトへの接続の防止
「ブラウザ保護」の機能を備えたセキュリティ・ソフトウェアを使用して危険なWebサイトへの接続を防止し、Webサイトを踏み台にした攻撃から防御します。

4.脆弱性攻撃を防ぐソフトウェアを導入する
未知の脅威から防御するため、「ふるまい検知型」の機能を備えたソフトウェアを利用します。

5.出口対策を実施する
PCがウイルスに感染した場合に、感染した端末から社内のPCやサーバに侵入したり、外部のサーバへインターネット経由で情報を持ち出そうとする攻撃を防ぐため、ポートやIPではなく、特定のアプリケーションごとの通信を許可するかどうか設定する「アプリケーション制御」の機能を備えたソフトウェアを使用します。

2については「エフセキュア アンチウイルス Linux ゲートウェイ」で対応可能です。3〜5については、「エフセキュア クライアント セキュリティ」ですべてカバー可能です。なおこのようなセキュリティの機能を有効に利用するためには、セキュリティ・ソフトウェアの一元的な管理が必要となり、そのためエフセキュアでは「エフセキュア ポリシー マネージャ」を提供しています。あるいは初期投資を抑制するため、「エフセキュア プロテクション サービス ビジネス」のようなSaas型のサービスを利用されることも有効です。

家庭での対策

1.代替となるブラウザをインストールする
Internet Explorerだけに頼らず、代替となるブラウザを1つまたは複数インストールします。(ブラウザは無償です)。デフォルトのブラウザをInternet Explorer以外に設定します。

2.不要なソフトウェアを削除する
インストールされているソフトウェアを確認し、不要なものは削除します。ほとんどの古いソフトウェアは脆弱なものと考えられます。

3.プラグインを無効あるいはアンインストールする
JavaやAcrobat Readerの脆弱性を悪用した攻撃が最近増加しています。家庭用のPCにJavaをインストールする必要はおそらくないはずです。また、PDFファイルを開くときなど、操作の前に「常に尋ねる」ようブラウザを設定します。

4.接続は常にNATルータ経由にする
家庭では、NATルータがハードウェアのファイアウォールの役割を果たします。また、ノートPCを持ち出して、外部の無償のWiFiスポットに接続すべきではありません。

繰り返しになりますが、上記の法人での対策も家庭での対策も、Windows XPから上位オペレーティング・システムへの移行期間のための一時的な処置であり、完全にセキュリティを確保できるものではありません。エフセキュアでは、一日も早い上位オペレーティング・システムへのアップグレードを推奨します。

4月8日:XPだけの問題ではない

 4月8日が間近になっている!そしてそれが意味するところは…。


カウントダウンクロック

 …Windows XPのサポートの終了だ。しかしXPだけではない。Office 2003も命を終えようとしている。

 今現在、Officeのある脆弱性が野放しになっているため、これを知っておくことは重要だ。

 マイクロソフトは昨日、Security Bulletin Advance Notificationを公表した。

Microsoft Security Bulletin Advance Notification for April 2014

 そして良いニュースがある。Wordの脆弱性に対するパッチが作成されている模様だ。いまだOffice 2003を使用中のすべての方にとって、この更新を適用することは不可欠だ。なぜか?パッチのリバースエンジニアリングが行われ、関連するエクスプロイトがエクスプロイトキットに埋め込まれるまでに、わずかな時間しかないためだ。この観点からすると、Officeがインストールされている方全員にとって、Webの閲覧は一層危険に満ちたものとなる。もしブラウザがRTFファイルを「開く」ように設定されていたら、とりわけ危険だ。

 したがって、次の火曜日のパッチに備えよう。そしてパッチを適用する。

 4月8日以降もまだXPを使い続けるつもりだろうか?それなら、こちらのSafe and Savvyの投稿を確認してほしい。

 7 things to do if you’re going to keep using Windows XP after April 8, 2014

 step 3としてOfficeのセキュリティの設定を厳格にするアドバイスがあることに、特に注意が必要である。次の火曜日までにできるちょっとしたことだ。

Coremexが検索エンジンハイジャックを取り入れる

 検索エンジンの結果を標的にするマルウェアは、なにも新しいものではない。悪意あるブラウザ拡張もおなじみだ(一般にFacebook詐欺のキャンペーンのようなものに使われる)。しかしごく最近、その双方を試みる、特筆すべきマルウェアファミリーを識別した。我々はCoremexと名付けた。これはブラウザが提供するプラグイン機能を悪用し、GoogleやYahooといった巨大オンライン広告企業を相手に、様々な検索エンジンの結果をハイジャックする。

 Coremexは単独のNullsoftInstaller実行ファイルとして提供され、ドロッパーもしくはダウンローダのいずれとしても動作する。当該実行ファイルの実行時に、ダウンローダは感染したマシンから基本的な情報の収集を始める。たとえば、ユーザ名、感染したワークステーションの名前、プロセッサ、メモリなどだ。情報はC&C(command-and-control)サーバのアドレス178.86.17.32に送付される。これは、バイナリにハードコーディングされている。情報は「2AJQ8NA4」というキーを用いてRC4で暗号化され、最終結果はBase64でエンコードされる。

 ブラウザ拡張スクリプトなどのメインペイロードをC&Cサーバからダウンロードするのを妨げるサンドボックスに対抗する機能が、Coremexにいくつか実装されている。これらの機能は、ブラックリスト化されたプロセスの名前を確認し、感染したマシン上でWMI(Windows Management Instrumentation)を使って「VMware」といった文字列のような、よく知られたサンドボックスのフィンガープリントを検索する。

図1:ハッシュ内のブラックリスト化されたプロセスの名前

Coremex_Blacklisted_ProcessName_By_Hash

図2:ハッシュ内の対サンドボックスの名前

Coremex_AntiSandbox_By_Hash

 対サンドボックスのコンポーネントが非常警報を上げなかったら、Coremexは次にC&Cサーバからペイロードを追加ダウンロードする段階に進む。ただし、マルウェア作者はペイロードのダウンロードに別のC&Cサーバを用いている(少なくとも当社の分析時には)。

 C&Cサーバのアドレスは以下だ。

  •  178.250.245.198
  •  174.127.82.213
  •  192.154.94.253

 以降被害者がChromeやFirefoxを開くと、常にブラウザプロセス内に当該エクステンションが存在するようになる。

 CoremexのJavaScriptは、分析を困難にするため、3階層の高度な難読化がなされている。同スクリプトは水面下でブラウザから提供されるAPIを用いていくつかのイベントを登録し、イベントの発生を待つ。

図3:悪意のあるブラウザ拡張が複数のイベントリスナーを登録

Coremex_Scripts_Event_Listener

 イベントリスナーの1つは1時間に1回起動される。callbackファンクションイベントの実行時に、以下のインチキな検索エンジンのWebサイトへの接続を開始する。

  •  onlinetrack.org
  •  zvtracker.com

 一方、他のイベントリスナーは、感染したブラウザが訪問しようとするURLを解析する役割を持つ。これらのイベントリスナーのcallbackファンクションは、以下の検索エンジンプラットフォームに入力された検索クエリを探す。

  •  Google
  •  Bing
  •  Yahoo
  •  ASK
  •  AOL
  •  AVG
  •  MyWebSearch
  •  Search-Results
  •  Comcast
  •  Delta-Search

図4:Coremexが標的とする検索エンジンプラットフォームの一覧

Coremex_Search_Engine_Hijack

 狙っている検索エンジンプラットフォームが見つかり、URLから検索クエリの解析が成功すると、Coremexは最初に犠牲者が入力した検索クエリをJSON形式に変換する。

Coremex_yoursearchquery

 続いて「http」というキーを用いてJSONオブジェクトがRC4アルゴリズムで暗号化され、結果がBase64でエンコードされる。Base64でエンコードした文字列は、おそらくマルウェア作者が制御する検索エンジンプラットフォームへ送られる。

Coremex_RC4

 サーバからの応答の中には、接続先のWebサイトのリストが入っている暗号化されたJSONオブジェクトが含まれている。これらWebサイトは広告っぽいURLを持つWebページがどこへリダイレクトされるかを規定する。GoogleアドワーズのURLの例では、以下のように見えるだろう。

Google Adwords URL

図5:GoogleアドワーズのURLのパターンを解析する役割を持つコード

Coremex_Google_Ads_URL_Hijacked

 復号したJSONオブジェクトは、以下のような感じだ。
 
decrypted JSON objet

 以下の画面キャプチャは、犠牲者が広告のURLをクリックしたときに動作するCoremexのスクリプトを示している。クリックすると、ハイジャックされた広告のページに導かれ、マルウェア作者が意図した接続先のWebサイトへリダイレクトされる。

図6:GoogleアドワーズのURLがハイジャックされている

Coremex_Google_Ads_Url_Car_For_Sale_768x335
画像クリックで拡大

図7:GoogleアドワーズのページがIFRAMEでハイジャックされている

Coremex_Google_Ads_Page_Hijacking_With_IFrame_768x333
画像クリックで拡大

 ハイジャックされた広告のページへ挿入されたIFRAMEに関して言うと、分析中はサーバが接続先のWebサイトについて応答することはなかった。したがって、ハイジャックされた広告のリダイレクト先の例について、我々はまだ目にしていない。しかし、人気のあるオンライン広告サービスを悪用しようとする、マルウェア作者の意図は明確だ。

SHA1: 62b5427b10f70aeac835a20e71ab0d22dd313e71

—————

Post by — Wayne

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード