エフセキュアブログ

https を含む記事

ワイデン上院議員による暗号化ランサムウェアについての質問

 12月15日、ロン・ワイデン米国上院議員はジェームズ・コミーFBI長官に対し、暗号化ランサムウェアに関する書簡を送った。報告があったコストは、非常に驚くべきものだ。

Victims of ransomware attacks are reporting payments between $200 and $10,000 to get their personal or business-related data back.

 1万ドルだって?私の推測では、これは全部で1台ではなく複数台のコンピュータが攻撃されたためだ。

 以下はワイデン議員の質問だ。

Wyden's questions to the FBI.

 FBIがすぐにでも詳細な回答を行うことを望む。

オンラインの軍拡競争

 The Online Arms Race(訳注:オンラインの軍拡競争)

 Web Summit 2015でのミッコ。

iOS 9はパスコードのセキュリティを真に改善したか?

 私はパスワードに関してある研究を行っているのだが、最近、iOS 9の次の機能を思い出した。

 アップル社(訳注:日本語ページのURLはhttp://www.apple.com/jp/ios/whats-new/):「Touch IDを有効にしたiPhoneとiPad上で使えるパスコードが、デフォルトで4桁から6桁に変わりました。Touch IDを使っている人は、その変化にほとんど気づかないでしょう。でも、1万通りの組み合わせが100万通りに増えるため、あなたのパスコードを破るのがさらに難しくなります。」(文字の強調は私が行った)

iOS 9 Improved Security

 4桁から6桁に変わったって?翻訳するとこうだ。誕生した年も入れられるぞ!つまり今や「1101」の代わりに「110160」となる(ティム・クックは1960年11月1日生まれ)。

 上記はまったくの事例だが、こういうことをしている人に私はすでに遭遇している。そして他にも数多くの人が同様のことを行っていることに、ほとんど疑いの余地はない。

 だが少なくとも6桁のパスコードは、例の4文字単語を使う気がそがれる。

 (訳注:「プロからのアドバイス:5683というのは良いパスコードではない。」という意味)

 スマートフォンのキーバッドでは、5683 = LOVEなのだ。

 パスコードから「カスタムの英数字コード」に変更し、良いパスフレーズを付けることをお勧めする。iOSデバイスで、設定 > パスコード > パスコードを変更 > 現行のパスコードを入力 > パスコードオプション、と辿る。

ブルートフォースパスワード攻撃を発端としたFlashリダイレクタの事例

 「Flashリダイレクタ」の検知件数のグラフにおいて、10月に異常な山があることに気付いた。この原因は侵害されたWebサイト群だ。

RedirectorHits
図1:Flashリダイレクタの検知件数

 侵害されたWebサイトにはコードが挿入されている。このコードは、ユーザをエクスプロイトキットのAnglerへリダイレクトしようとする、悪意あるFlashオブジェクトを読み込む。

InjectedCode
図2:挿入されたコード

 このFlashリダイレクタは新しいものではない。これについては1年前にMalwareBytesに記事が掲載されている。しかしながら、10月中に観測した急増は我々の関心を引き、もう少し詳しく眺めてみることになった。

 URL短縮ツールus.toの使用を確認できなかった点を除いて、MalwareBytesが確認したものとURLのパターンに大差ないことを発見したのには、興味深いものがあった。攻撃の背後にいる人物は、フリードメインや一般的でないトップレベルドメインを巧みに利用している。

RedirectorURLs2014
図3:2014年のFlashリダイレクタのURL
RedirectorURLs2015
図4:2015年のFlashリダイレクタのURL

 Webサイトがどのように侵害されたかを調査するうち、そうしたサイトすべてがWordPressを使って構築されていることに気付いた。我々は当初、当該Webサイトは脆弱なプラグイン経由で攻撃されたと考えていた。

 侵害されたサーバについてさらに調査を行うと、単純なブルートフォースでのパスワード攻撃が、攻撃者の戦略の1つであったことが明らかになった。攻撃者は以下のようなURLにアクセスすることで、WordPressのユーザ名を列挙しようとした。

http://www.samplewebsite.com/?author=1
http://www.samplewebsite.com/?author=2
http://www.samplewebsite.com/?author=3

 以下は、authorをスキャンしたことを示すアクセスログの一部だ。

accesslog1

 ユーザ名を獲得したなら、攻撃者が特定しなければならないのはパスワードだけだ。攻撃者が使用したツールは、ログインに成功するまでにおおよそ1200件のパスワードを試していた。

accesslog2

 管理者アカウントへアクセスできるようになったら、攻撃者は悪意のあるスクリプトをサーバにアップロードし始める。こうしたスクリプトには、バックドアやさらにはスパマーのコンポーネントが含まれる。

accesslog3

 サイバー犯罪者にとって、マルウェアを配布するのにもっとも効率的な方法の1つは、Webサイトを侵害することだ。ユーザは習慣のとりことなっており、一般に自分のマシンが感染しているかもしれないなどと考えることなくお気に入りのWebサイトを訪れる。そのため、こうしたWebサイトの所有者がこの脅威が広がらないようにするのに重要な役割を持つ。前々からアドバイスされていることの1つは、あなたのサーバで実行される全ツールを最新にして、脆弱性を突いて攻撃される可能性を低減することだ。しかしながら、他ならぬこの攻撃の場合については、ユーザ名の保護および強力でユニークなパスワードを使用することの重要性をいくら強調してもし足りない。さらに、この種のWordPressの攻撃から身を守るためには、何を公開するにせよWordPressの管理者アカウントを使用すべきではない。また.htaccessに以下のコードを追記すると、autherを列挙しようとする試みをブロックできる。

# Stop wordpress username enumeration vulnerability
RewriteCond %{REQUEST_URI} ^/$
RewriteCond %{QUERY_STRING} ^/?author=([0-9]*)
RewriteRule ^(.*)$ http://yoursite.com/somepage/? [L,R=301]

 より詳細については「Block WordPress User Enumeration, Secure WordPress Against Hacking」で確認できる。

Wonknu:第3回ASEAN・米国サミットにスパイ

 このAPT攻撃の時代において、政府間の会合があるのにマルウェアが発現しない、というのは何かがおかしいように感じる。しかし2015年11月21日の第3回ASEAN・米国サミットは期待を裏切らなかった。

 クアラルンプールでのサミットの数日前、ARC(ASEAN Secretariat Resource Centre)のドメインが侵害された。これはasean.orgのサブドメインであった。侵害されたスクリプトファイルに悪意のあるコードが加えられ、サイトに訪れた者は43.240.119.35にリダイレクトされる(現在、この悪意あるスクリブトはアクセスできない)。

Redirection Traffic
リダイレクトされたトラフィック

 ARCのWebサイトはいまだ侵害されたままであり、「the 3rd ASEAN Defence Ministers’ Meeting.rar」というファイル名のアーカイブがホストされている。ここに含まれるマルウェアは、当社ではBackdoor:W32/Wonknu.Aとして検知する。

 Wonknuは、防衛分野の顧客を持つ情報管理ソリューション企業であるAwarebase Corp.社により署名されている。

Wonknu Cert
Wonknuの証明書

 このマルウェアは、 c:\programdata\kav.exeとして自身のコピーをシステムにドロップする。次に43.240.119.40:443に接続し、以下のようなコマンドを受け付けるバックドアとして機能する。

  • GetsSysteminfo – バージョン情報の取得
  • GetDiskInfo – ディスクドライブの情報の取得
  • GetFileList – ディレクトリ一覧の取得
  • DownloadFile – ファイルのダウンロード
  • UpFile – ファイルのアップロード
  • RunExeFile – 実行ファイルの起動
  • FileData – ファイルへのデータの書き込み
  • DelFile – ファイルの削除
  • NewDir – ディレクトリの作成
  • CmeShell – シェルからのコマンドの実行
  • プロセスの終了
  • プロセスの列挙

 我々が類似のサンプルについて探してみたところ、同じ証明書を用いている別のサンプルを見つけた。

Signed downloader
署名されたダウンローダ

 このマルウェアが最初に見られるようになったのは、今年の8月初旬辺りだ。そのときはsft.spiritaero.comからダウンロードできた(Spirit AeroSystems社は商用航空構造物の最大のメーカーの1社)。

 このマルウェアはJavaファイルを装っているが、正確にはJavaw.exeのバージョン6.0.0.105だ。オリジナルのJavaファイルは変更されており、178.79.181.246からファイルをダウンロードするという悪意あるコードが含まれている。ダウンロードされたファイルは、影響を受けたマシン上にJava_Down.exeとして保存される。このURLもまた、現在はアクセス不可能だ。

Downloader Code
ダウンローダのコード

 加えて、以下の特定のIPアドレスで、前述のケースと似ているJquery.jsがホストされていることを我々は発見した。しかし現時点ではそのコピーを入手できないでいる。

URLおよびIPアドレス:
43.240.119.40:443
http://arc.asean.org/the%203rd%20ASEAN%20Defence%20Ministers'%20Meeting.rar
http://43.240.119.35/arc/Jquery.js
http://178.79.181.246/microsoft/Java_Down.exe
http://178.79.181.246/microsoft/jquery.js
https://sft.spiritaero.com/java/javaws.exe
Fファイル名:
the 3rd ASEAN Defence Ministers' Meeting.rar
the 3rd ASEAN Defence Ministers' Meeting.exe
c:\programdata\kav.exe
Java_Down.exe
ハッシュ:
a096a44aee0f0ff468c40488eab176d648b1c426
068fa495aa6f5d6b4e0f45c90042a81eecdaec2c
検知:
Backdoor:W32/Wonknu.A
Trojan-Downloader:W32/Wonknu.B

うわっ!デルがまたやった

 悪いニュースだ。デルが顧客のPCに、欠陥のあるルートCAをインストールしていた。

 (訳注:「デルは欠陥のあるルートCAと共にラップトップPCを出荷している」という意味)

 なぜこれが悪いことなのか?なぜなら、そうしたCA証明書がインストールされたコンピュータに対し、中間者攻撃(man-in-the-middle attack)を仕掛けるのはたやすいことだからだ。Dan Goodinがここで秀逸な記事を公開している。

 デルは昨晩遅くに、この証明書は「デルのオンラインサポート(訳補:Dell Foundation Services)にシステムサービスタグを提供することを意図するものだった」と説明を行った。

Response to Concerns Regarding eDellroot Certificate

 待てよ、かつてこんなようなことを耳にしたのは、どこだったかな…?

 さかのぼること4月だ。本ブログの愛読者の方なら、2015年4月には「Dell System Detect」経由でのリモートコード実行の問題をデルが抱えていたことを思い出すだろう。

 こちらは(いささか)良いニュースだ。Dell System Directと比べてずっと、Dell Foundation Servicesは普及はしていないようだ。

 eDellRootがインストールされているか、確認したいって?

 (訳注:「デルのマシンを使ってる?邪悪な証明書がインストールされていると思う?確認するには、こちらのサイトhttps://edell.tlsfun.deにアクセスを。」という意味)

 Dan Tentleが勧めるように、こちらのサイトhttps://edell.tlsfun.de/にアクセスしよう。

論文:C&C-As-A-Service

 当社のスレットインテリジェンスチームの研究員であるアーチュリ・リーティオ(Artturi Lehtio)は、C&Cの経路としてサードパーティのWebサービスを悪用する件についての論文を先日のVB2015で発表した。

C&C-As-A-Service: Abusing Third-Party Web Services As C&C Channels

 以下が、その要約である。

 モダンなマルウェアの運用には、セキュアで信頼性があり、検知されない手段でマルウェアの制御や通信(C&C)を行うことが不可欠だ。しかし、通信インフラを自前で設計、実装、維持することは容易ではない。セキュアで信頼性のある通信に関心があるのは、偶然にもマルウェア運用者だけではない。人気のWebサービスもまた、セキュアで信頼性のあるサービスを顧客に提供したいと考えている。加えて、人気のWebサービスは大量の特定困難なWebトラフィックを生み出すという現実がある。そうしたWebサービスは、非常に魅力的に映り始めるだろう。その結果として意外なことでもないが、近年、TwitterやFacebook、GmailといったサードパーティのWebサービスをC&Cサーバとして悪用することが、マルウェア運用者の間で流行りつつあることが見て取れる。

 モダンなマルウェアがサードパーティのWebサーバをC&Cの経路として悪用する方法について、この論文では多数調査している。一般的なサイバー犯罪に始まり標的型の国家のスパイ行為に至るまで実在した例を用い、マルウェアに採用された方式ともっとも頻繁に悪用されたWebサービスの双方について、概観を包括的に示している。この論文ではさらに、マルウェアの運用者がサードバーティのWebサービスをC&Cの経路として悪用した場合にもたらされるメリットおよびデメリットを分析している。最後に、こうした方法がマルウェアの検知や回避に及ぼす課題について検証する。

 アーチュリの講演のスライドは、Virus Bulletinでダウンロードできる。

 また、論文「C&C-As-A-Service」はここにある[PDF]。

Security Cloudのホワイトペーパー:当社では顧客のデータをどのように扱っているか?

 エフセキュアラボが顧客のデータをどう扱うかは、そこで働く我々にとってもっとも重要なことだ。したがって当社の最新のホワイトペーパーをご覧頂ければと思う。「Security Cloud」として知られる、当社のバックエンドの技術について詳述している(PDF)。

Security Cloud: F-Secure Labs Security Technology White Paper

 また当社技術の目的、機能、利点を解説し、顧客から提供された情報を処理する際に採用する保護手段を説明している。

F-Secure Security Cloud Purpose, Function and Benefits.

Linux.Encoder.1:Bitcoinでの支払いのみ受け付けます

 現在、実際のLinuxベースのシステムを標的とした、新たな暗号化ランサムウェアのたくらみがある。これはDr.Webの人々から「Linux.Encoder.1」と呼ばれている。基本的にLinux.Encoder.1による脅迫者は、脆弱なWebサーバ上でフィッシングサイトやエクスプロイトキットへのリダイレクトを設定する代わりに、コンテンツを暗号化してWebサーバの所有者を直接標的にする。

 その結果、数々の被害がGoogleにインデックスされている。

 (訳注:「Linux.Encoder.1というトロイの木馬による被害を受けた運用中のWebサイトを、Googleがたくさん発見している」という意味)

 以下はGoogleのキャッシュにある脅迫文のコピーだ。

README_FOR_DECRYPT.txt

 すばらしいFAQだ。

We are accept only Bitcoins. - http://memegenerator.net/instance2/2810855

 「Can I pay another currency?(Bitcoin以外の支払い方法はありますか?)」

 「No.(いいえ)」

 Linux.Encoder.1の被害者がバックアップを取っているといいのだが。さもないと、Bitcoinを入手させられることになる。脅迫者たちが支払いの対価として、本当の復号キーを渡すかどうかはまだ不明だ。そして、彼らのTorで隠ぺいされたサービスが現在オフラインなのだ。これは前途多難だ。

 追記:

 当社のスレットインテリジェンスチームの研究員Daavid Hentunenは、脅迫者たちは1ヶ月で11,934ユーロを稼いだと見積もっている。

ハロウィンのRAT:PageFairのサービス経由でNanoCoreが提供される

 広告ブロックへの対抗ソリューションを提供するPageFairが、この週末を挟んでスピアフィッシング攻撃により侵害された。攻撃者はパスワードのリセットを行い、これにより彼らはCDN(Content Distribution Network)サービスのPageFairのアカウントにアクセスできるようになった。続いて攻撃者は、PageFairのJavascriptを悪意のあるものに置き換えた。


悪意のあるJavascript:ads.min.js

 以下は、このPageFairのサービスを利用しているWebサイトを訪れたときに表示されるものだ。

Fake Flash Player Warning
Flash Playerの偽の警告

 PageFairがいかに人気か示すため、少なくとも当社のユーザベースに関して言えば、ヒット数の統計情報を取り出したところこれまでの14日間で293位にランクされていることが分かる。これはflickr.com(295位)、spotify.com(399位)、steampowered.com(406位)、paypal.com(413位)よりも上位である。つまりこのドメインは大した有名人なのだ。これが、侵害のさなかにグラフ上に山があったことの説明になる。

Telemetry
テレメトリ

 この間、我々は悪意のあるadobe_flashplayer_7.exe6ad0393f506bc6e0a84f1325b3d75cca019c21bc)が以下の場所からダウンロードされているのを目にした。

  • 75.126.160.35
  • 192.155.192.104
  • 184.173.28.170
  • 184.173.28.174
  • 184.173.28.175
  • 184.173.28.176
  • 168.1.88.118

 上記リンクから提供されるマルウェアは、NanoCoreと呼ばれるRATだ。NanoCoreはNetwork、Security、Surveillanceに関係があるプラグインを提供する。


NanoCoreのプラグイン

 PageFairの侵害に関係のある、特定のマルウェアサンプルのC&Cサーバはalotpro2.dynu.com45.35.34.148)である。

Network Events
ネットワークイベント

 当社製品を有効にしているユーザは、この侵害の最中も脅威から保護されていた。検知はTrojan:W32/Golroted.6ad0393f50!Onlineとしてなされる。

 PageFairの侵害や状況についての詳細な情報は、こちらのリンクから確認できる。

エフセキュアのFreedome、2015年「Meffy Award」Consumer Trust部門を受賞

英国に本部を置くMobile Ecosystem Forum(モバイル・エコシステム・フォーラム:MEF)が19日夜にロンドンで開催した「Meffy Award」授賞式において、インターネットに対する消費者の信頼を強化するエフセキュアの取り組みが評価されました。エフセキュアのVPNソリューションFreedomeが2015年 Meffy awardのConsumer Trust部門を受賞し、オンライン・プライバシーのソリューションを提供するFreedomeの実力が証明されました。

最近行われた複数の調査から、インターネットサービスの信頼性に関して消費者が常に懸念を抱いていることが明らかになっています。欧州連合の世論調査Eurobarometer(ユーロバロメーター)の調査では、個人情報保護に関して、回答者の63%がインターネットサービス会社を信頼していないと答えています*。米調査機関PEW Research Center(ピュー・リサーチ・センター)が米国で実施した調査でも「さまざまな企業・組織の中で、個人情報保護について最も信頼性が低いのはインターネットサービス会社」であったことが明らかになり、66%から79%の回答者が、インターネット接続業者が収集したネット上でのユーザの行動履歴がきちんと保護されているか、確信が持てないと答えています**。

Mobile Ecosystem Forum CEOであるリマ・ペレルミューター氏は次のように述べています。「Mobile Ecosystem Forumは長年にわたり、消費者の信頼強化に貢献するベストプラクティスを推進してきました。今年の『Meffy Award』Consumer Trust部門を受賞したエフセキュアは、モバイルエコシステムで重要な役割を果たしており、モバイルアプリやサービスの利用に対する消費者の信頼強化に貢献する取り組みが高く評価されました」

プライバシー・セキュリティ対策アプリFreedomeは、通信の暗号化、インターネットのトラッキングや悪意のあるウェブサイトのブロック、ジオブロック(地域制限)のあるウェブサイトやストリーミングサービスにアクセスするための仮想ロケーションの変更などを可能にします。Freedomeの保護機能を利用すれば、インターネット上のプライバシー保護をユーザ自身がコントロールできるようになります。Freedomeはデジタルサービスの利用に対するユーザの信頼強化に寄与すると同時に、ユーザが安心して利用できるデジタルエコシステムの発展に重要な役割を果たしています。

エフセキュアのコンシューマ・セキュリティ担当エグゼクティブ・バイスプレジデントであるサム・コンティネンは次のように述べています。「今回Freedomeが『Meffy Award』Consumer Trust部門を受賞したことを大変喜ばしく思います。エフセキュアは安全なインターネット環境の創出において、消費者の信頼と個人情報保護を戦略の中核に据えています。今回の受賞は、デジタルの自由を提供するエフセキュアに大きな成果をもたらすとともに、プライバシー保護に貢献するFreedomeの優れた実力が証明されました」

「Meffy Award」のConsumer Trust部門は2012年に新設され、モバイル機器ユーザにとって信頼性の高い環境・サービスづくりに取り組む企業・組織に与えられます。受賞者の選定にあたっては、業界ベストプラクティスの遵守やプロセスの透明性のほか、使いやすさや管理のしやすさに基づいた審査が行われ、信頼性の向上がモバイルサービスの理解促進にどのように貢献したかも評価されます。

Freedomeに興味のある方は、Windows PC、AppleのOS X、Android、iOS、Fire対応のバージョンが、現在14日間無料の試用版ダウンロードでお試しいただけます。

*出典:http://ec.europa.eu/public_opinion/archives/ebs/ebs_431_en.pdf
**出典:http://www.pewinternet.org/2015/05/20/americans-attitudes-about-privacy-security-and-surveillance/

詳細情報:  
エフセキュアFreedome 
モバイル・エコシステム・フォーラム「Meffy Award」Consumer Trust部門

CryptoWallのZipファイルの中身は1,000ドルだ

 「Payment is made successfully(支払いが成功しました)」

 以下は、身代金を支払った後の、CryptoWallのDecrypter Service(復号サービス)の画面だ。

Payment is made successfully.

 そして、あなたのお金 Bitcoinで得られるものが、これ(decrypt.zip)だ。

The contents of decrypt.zip.

 全然大したものではない。しかし、あなたのキーのコピーがなければ、ファイルを復号することはできないのだ。

 これが、おそらくFBIが次のように言う理由だ。

 「To be honest, we often advise people just to pay the ransom.(正直に言って、ただ身代金を支払うようにとアドバイスすることも多い)」

 FBIのアドバイスに従わなければならない状況になりたくない?

 それなら、以下をするといい。

  • 自分のデータをバックアップする!
  • 使わないソフトウェアやブラウザのプラグインをアンイストール・無効化する
  • 使用するソフトウェアを最新の状態に保つ

 @5ean5ullivan

SLocker v.s. Marshmallow

 AndroidのランサムウェアであるSLockerが最近になり、非常に深刻な(そして下劣な)やり口でAndroid Lollipopの欠陥を悪用し始めた。しかしAndroid Marshmallowに対しては、SLockerはどのように事を運ぶのだろうか?

 手始めに、SLocker v.s. Lollipopを確認してみよう。

 マルバタイジングは一般に人(men)をおびき寄せて、「Porn Droid(ポルノドロイド)」と呼ばれるアプリをダウンロードさせる(まあ、たぶん男性(men)ばかりだが)。

Porn Droid app

 典型的には、よくありがちな過剰なパーミッションが要求される。

PornPro app permissions

 そしてソーシャルエンジニアリングに対する障壁は、良くても以下のようにほんのわずかだ。

PornPro permissions continued

 もし優れたセキュリティアプリをインストールしているのなら、以下のような画面を目にするだろう。

This app contains a virus

 しかしセキュリティアプリ無しにアプリを開いたのなら、次のプロンプトを受け取ることになる。

Disguised request for admin permissions
Update patch installation

 この「Continue」ボタンは?これは、デバイスの管理者権限の要求を分かりにくくしている(もちろん、非常に重大な欠陥だ)。そしてもし「Continue」をクリックしたとすると、SLockerは強奪に乗り出すために、入手したばかりの管理者権限を用いるだろう。

 以下はFBIをテーマにしたランサムウェアだ。

Slocker's FBI Warning

Slocker's FBI Warning

Slocker's FBI Warning

 一見したところでは、FBIが罰金(fine)ゆすりの支払いに「PayPal My Cash」を受け付けているようだ。

PayPal My Cash

 SLockerは被害者に恐れを抱かせようと、正面カメラで写真を撮る。

 以下の例では、Zimryの席の上の天井に向いている。

Slocker tries to take a picture.

 そして、おまけにPRISM(訳注:NSAの通信監視プログラム)のロゴが付いている。

FBI Mission: PRISM

 この時点で、Androidアプリが管理者権限を得ることが驚くほど簡単にみえることを言及すべきだろう。AppleのiOSでは、VPNのような基本項目を設定する際にはパスコードが要求される。しかしAndroidでは、管理者権限の要求に必要なのは単純な「はい」だけなのだ。

 コンピュータセキュリティのプラクティスとして最良のものは、インストールを限定する制限されたプロファイルの「ユーザ」として実行することだ。そして管理者権限を求めるアプリケーションは「管理者」プロファイルでインストールし、パスコードを要求する必要がある。そのため当社では、通常ユーザ用の制限付きプロファイルを構成しようとしたが、管理が難しいことがわかった。Androidの制限付きプロファイルはペアレンタルコントロールとタブレットのために設計され、またそれに焦点が合わせられている。当社のテスト用スマートフォンに追加のプロファイルを設定したが、我々が望むようなデバイス管理の類は実際には得られなかった。追加プロファイルを作成できるだけで、制限をかけることはできない。

 比較すると、AppleのiOSの機能制限は、iOSを主に使う人でさえはるかに役立つものだ。

 しかし、現在は…。

 Android MarshmallowはSLockerに対し、どのように事を運ぶのだろうか?

 良いニュースがある!SLockerの「Continue」を使った分かりにくさは、Marshmallowを実行しているスマートフォン上では失敗する。そして、管理者権限を与えることが何を引き起こすかについて表示されるだけだ。これはヒドい。全データの消去、スクリーンロックの変更、ストレージの暗号化をする権限だ。言い換えると、SLockerに管理者権限を与えたら…、おしまいだ。スマートフォンのデータがバックアップされていなければ、強奪者に屈する以外に取り戻す方法は無い。

Activate Device Administrator

 しかし次は悪いニュースだ。Android Marshmallowは10月5日リリースされたが、まだ普及していない。そのため、これからかなりの期間SLockerは攻撃を持続しそうだ。

 ハッシュ:

0f25cefa85a0822a08ad23caca24a622fbf4aef0
12dc90592c1945fe647d04902b2707e756e88037
25311dfbc4961a661494a2767d2fb74c532539cc
68e7879074b9e2635d895616d4862383fe5960db
84b541957d7e42b4b7d95763fb48d03fcca21ffd
c0784e974da5b7e82e9921763f957e1f3ec024e7

 

 Trojan:Android/Slocker.BJの分析はZimry Ongから提供を受けた。

昨年スマートテレビを購入した消費者の割合は、デスクトップPC購入者の割合に匹敵

エフセキュアが今回実施した調査では、過去一年以内にスマートテレビを購入したと答えた回答者が23% に上り、デスクトップPCを購入したと答えた人の割合とほぼ同一でした。8,800人の消費者を対象に行われた今回の調査からは、「モノのインターネット(IoT)」が消費者の間で徐々に受け入れられつつある一方で、プライバシーやセキュリティ対策がきちんと取られているか、不安を抱く人の割合が非常に高いことがうかがわれます*。

本調査から、スマートテレビ以外のIoT製品カテゴリであるウェアラブル機器やネット家電についても普及が進みつつあることが明らかになっています。その一方で、今回調査の対象となった消費者の70%がこれらの機器のハッカー被害が心配であると答え、69%がこれらの機器を通じた第三者による追跡を懸念していると回答しました。

エフセキュアの戦略的脅威研究担当ディレクター、ミカ・スタルバーグは、普及が進んでいるIoT機器のタイプを考慮すると、上記に挙げた消費者の懸念は当然であると考え、次のように述べています。「モノのインターネット(IoT)の普及は、娯楽の次に、生活の質を高める製品に特化しています。監視カメラやスマートキー、スマートカーのような製品はすべて物理的なセキュリティに重要な役割を果たします。これらIoT機器の普及が進めばオンライン上の脅威がより身近なものになるわけですから、この点に関して消費者が懸念を抱くのは当然のことなのです」

さらにスタルバーグは、家庭用ルーターがハッキング被害に遭うケースがここ数年増加している点を指摘し、この傾向はセキュリティ対策の不十分な機器が犯罪者のビジネスチャンスとして狙われていることを示すものだと述べています。「IoT機器への攻撃は今後高まることが予想されますが、その原因はIoT機器のセキュリティ対策が充分でないためです。家庭用ルーターへのハッカー攻撃は、IoT機器が危険にさらされる可能性を顕著に示しています。ハッカーが家庭用ルーターを悪用してネットワークトラフィックを監視し操作する恐れがあります。『Lizard Squad(リザードスクワッド)』のようなハッカー集団はすでに脆弱性を悪用して、市場性の高いボットネットサービスを生み出しているのです」

IoT機器の普及が進むにつれて高まるセキュリティリスク

今回の調査結果をエフセキュアが昨年行った同様の調査結果と比較したところ、セキュリティやプライバシーに対する消費者の懸念にもかかわらず、モノのインターネットの普及が進んでいることが明らかになりました**。 より多くの消費者がより広範な製品カテゴリからIoT機器を購入しており、IoT機器の市場が順調に成長すると見込んだ、市場調査会社の予測を裏付けています*** 。最も成長が著しい製品カテゴリは次の通りです。

  • フィットネス・生活用追跡機器の普及が3%から5%に増加
  • インターネット接続型の家庭用モニタリング機器の普及が1%から4%に増加
  • TVストリーミング機器の普及が4%から6%に増加

スタルバーグは、これら製品カテゴリの大半が比較的新しく、従来IT製品の製造を手掛けてこなかったメーカーによる機器が多数を占めている点を指摘しています。新しいタイプのIoT機器が加わることでネットワークの規模が拡大し、プライバシーやセキュリティに関する従来からの問題が深刻化する可能性があります。

「メーカーは使いやすさにばかり力を入れ市場投入を急ぐあまりに、限られた機能しか持たないIoT機器が大量に出回っていますが、これらのIoT機器はセキュリティ上の脆弱性を抱えています。セキュリティ問題に関してIoT機器と従来のIT製品とで大きな違いは見られませんが、IoT機器がネットワークに加わることでネットワーク規模が拡大し、セキュリティに関する従来からの問題が深刻化する恐れがあります。対応不可能な状況になる前に、消費者とメーカーの双方が管理可能なネットワークの確保について考えるべきです」

*出典:「エフセキュア消費者価値観調査 2015」 本調査は11カ国(米国、英国、フランス、ドイツ、ブラジル、アルゼンチン、コロンビア、メキシコ、イタリア、スウェーデン、インド)で実施されたオンライン調査です。調査は1カ国につき800人、合計8,800人の、各年代、収入層の男女がバランスよく含まれた回答者を対象に実施されました。 調査データは2015年7月にToluna Analytics社が収集しました。 なお、2014年の調査データとの比較は、2014年と2015年の両方で調査を実施した国に限定して行っています。

**出典:「エフセキュア消費者価値観調査 2014」 本調査は6カ国(米国、英国、フランス、ドイツ、ブラジル、フィリピン)で実施されたオンライン調査です。調査は1カ国につき 800人、合計4,800人の、各年代、収入層の男女がバランスよく含まれた回答者を対象に実施されました。調査はInformed Intuitions社とエフセキュアが共同作成し、調査データは2014年7月にToluna Analytics社が収集しました。

***出典:https://www.idc.com/getdoc.jsp?containerId=prUS25633215

詳細情報:  
F-Secure Internet of Things https://iot.f-secure.com/

Dridexの解体

 先日、英国NCA(National Crime Agency、国家犯罪対策庁)はFBIおよびアメリカ合衆国司法省とともに、Bugat、Cridex、Dridexの作者を告訴した。Andrey Ghinkulは2015年8月28日にキプロスで逮捕された。現在、米国は身柄の引き渡しを求めている。報じられているところでは、Dridexは世界各国で金融機関や金融業者に数百万ドルの損失を招いた。

 Dridexは、正規のファイルに見せかけた、悪意あるマクロコードが埋め込まれたMicrosoft Wordドキュメントを通じて伝播することが分かっている。こうしたマクロはいずれ、C&Cサーバや侵害されたWebサイトから実行ファイルをダウンロードすることになる。エフセキュアでは、Officeドキュメントに特化してファイル内の悪意あるマクロを探す、一般的な検知を行っている(Trojan:W97M/MaliciousMacro.GEN)。

 当局がDridexボットネットを駆除するにつれ、当社のバックエンドの統計情報に悪意のあるマクロの発見が感知され、急増が見られた。

 当社の顧客は、Hydra(スキャンエンジン)およびDeepGuard(ビヘイビアベース)の両技術にて守られている。

Virus and spyware history Trojan:W97M/MaliciousMacro.GEN
Trojan:W97M/MaliciousMacro.GENの検知

F-Secure Internet Security, Harmful file removed
害のあるファイルが削除された

 一般的なシグニチャによって悪意あるマクロの検知を行っているほか、ビヘイビアエンジンであるDeepGuardでもブロックする。1階層より2階層の保護のほうが優れている。

F-Secure Internet Security, Application blocked
不正なビヘイビアのためにブロックされたアプリケーション

 Wordドキュメントが実行ファイルをドロップするって?そうだ、それに良いことなんか1つもない。

 Q:こうしたDridexの動きは、すべて当局がボットネットを解体したことと関係があるのか?
 A:当社では分からない。

数独マルウェア vs. EMET 5.2

数ヶ月前、悪意のある数独問題ファイルを読み込むことの危険性について注意喚起を行いましたが、昨今の標的型攻撃の手口は悪質化、巧妙化の一途をたどり、ソーシャルエンジニアリングを駆使した攻撃手法も洗練され、もはや「悪意があるかどうかを事前に判断」することが困難になりつつあります。つまり、「不審な数独問題ファイルを開かない」というのが対策として機能しなくなってきたのです。

そこで近年注目されているのが、マイクロソフトが提供するEMETに代表されるような脆弱性防御(緩和)ソフトウェアです。
早速、EMETを有効にした状態で数独マルウェア(正確に言うと数独Exploit)を使って攻撃してみましょう。
デフォルトで3つのセキュリティレベルが用意されていますので、最高レベルの「Maximum security settings」を選択して実験を開始します。

SudokuExploitWithEmet52

なるほど、確かに攻撃を検知して防御してくれました。

では次に、EMETによる防御をバイパスしてみましょう。EMETの解説を読む限りでは、攻撃に使われる典型的な振る舞いをパターン化しているようです。そこで、一直線に攻撃に向かうのではなく、わざわざ遠回りをして攻撃してみます。例えて言うと、スタート地点Aから目的地Bに向かいたいが、途中に検問がある。だったら一度経由地Cを通ってから目的地Bに向かおうという、いたってシンプルな作戦です。
要するに
A -> B
という命令は
A -> C
C -> B
という二段階の命令に置き換えます。

完成した攻撃コードを実行した動画です。



脆弱性防御ソフトウェアは、あわてんぼうの攻撃者にとっては有効ですが、精巧に攻撃されるとまだまだバイパスが可能、という段階のようです。

また今回の実験はEMETだけでなく他の標的型攻撃対策ソフトに対しても同様にバイパスが可能でした。

「不審な数独問題ファイルを開かない」という自信の無い方は、業務用PCと数独用PCを分けることをおすすめします。

2015/10/06追記: EMET 5.5 Betaでも結果は同じでした。

MarshmallowでAndroidはiOSライクなパーミッションに近づく

 現在、Android 6.0、別名「Marshmallow」が公開されている。もっとも良い新機能は、私の見解では、新しいパーミッションモデルである。

 きちんと作成されたアプリケーションであれば、パーミッションをインストール中に1度だけ要求するのではなく、必要な時になって要求できるようになる。

Android Marshmallow App Permissions
情報源:Google

 Androidのこれまでのバージョン用に設計されたアプリケーションでは、いまだに前もって数々のパーミッションについて要求されるが、MarshmallowではiOSのように粒度の細かい制御を行える。

Marshmallow App Permissions Facebook

 もしパーミッションを拒否したとしても、すべてのアプリケーションがすんなりとあきらめるものとは限らない。

Marshmallow App Permissions Deny Warning

 しかし、たとえばFacebookの「友達を検索」する機能を使いたくないなら、Facebookアプリがあなたの連絡先にアクセスする必要性はまったくないだろう。私がお勧めしたいのは、さまざまなパーミッションを許可せずに、Marshmallowのスマートフォン上にインストールした「必要悪」をテストしてみることだ。

 良心的な開発者はすぐにでもアプリケーションを更新するだろう。

 そして更新しないのなら…よし、レビューはそのためある。でしょ?

Android 6.0 Changes

 Android 6.0の変更点はすべてここで参照できる。

 @5ean5ullivan

VB2015

 ミッコは今年のVB2015に参加しなかった…とされているが。

 (訳注:「1993年から毎回Virus Bulletinのカンファレンスに参加していたが、#VB2015 には行き損ねた。はずなのだが、このビデオによれば私は欠席していなかった…。」という意味)

サイバー攻撃がロシアの情報収集とつながる

エフセキュアラボが発行した新しいレポートによると、国家主体のサイバー攻撃の多くが、ロシアの情報収集に関与するあるハッキング集団と関連しているとしています。ホワイトペーパーには、「デュークス」と呼ばれるハッキング集団について詳細な分析が記されており、米国、ヨーロッパおよびアジアの各国政府や関連団体に対する7年以上に及ぶ攻撃がまとめられています。

今回のレポートでは、他にないマルウェアのツールセット群を駆使し、コンピューターネットワークに侵入し、攻撃者にデータを返信する手口で情報を盗み出す攻撃者集団、「デュークス」について詳述が記されています。この集団は、先述のツールセットを使いサイバー攻撃を仕掛け、少なくとも7年以上、ロシアの情報収集を支援してきた、とレポートでは述べています。

レポートで取り上げられた攻撃の具体的な標的には、旧NATOに関するジョージア情報センター(現、NATOおよびEUに関する情報センター)や、ジョージア防衛省、トルコおよびウガンダの外務省、その他、米国、ヨーロッパおよび中央アジアの政府機関や政治系シンクタンクなども含まれています。

今回の調査の責任者で、エフセキュアのリサーチャーであるアルツーリ・レティオは次のように述べています。

「新たな分析により、このグループがロシアの援助を受けており、ロシアの情報収集を支援するために活動しているという主張が強くなりました。今回の調査では、これらの攻撃で使われたマルウェアや戦術と、我々がロシアのリソースや利益になると理解している内容とのつながりを詳細にみています。こうしたつながりから、どこで攻撃が組織され、何を狙っていたのか、どのように実行されたのか、そして何が目的だったのかを示す証拠を導きだすことができました。そうして得られたすべてのサインが、ロシアによる国家的な支援を指し示すものでした。」

デュークは、9つの異なるマルウェアのツールセットを使っており、研究者間でもそのうちの多くは把握されていたものの、レティオによる2つの新たな変異の発見のおかげで、研究者たちがこの集団と攻撃との間の新たなつながりを見いだすことができました。エストニアの防衛セキュリティ情報センターのジュニア・リサーチ・フェローであるパトリック・モールドレ氏は、次の通り述べています。

「今回の発見は重要な情報で、この情報を使うことで、研究者やアナリストはいかにサイバー攻撃がロシアの情報収集や政治的目的のために利用されているかをより大きな絵として見ることができるようになります。レポートで特定されたつながりには、国際安全保障、特に北欧とコーカサス地域の国にとっては重要な意味を持っています。ロシアが攻撃型のサイバー能力にどれだけ多くの投資をしてきたのかを示すもので、こうした能力が戦略的利益を前進させる上で重要な要素になったことも実証しています。ジョージア、ヨーロッパ、そして米国に対する7年に及ぶ個々の攻撃をつなぎ合わせ、既存のNATO加盟国や将来の加盟国に対して、ロシアの情報戦争やスパイ活動、そして言い逃れなどの被害者にならないよう、サイバー空間での協力を強化し、集団的安全保障を高める 必要性を追認しています。」

フィンランド国際問題研究所のグローバル・セキュリティ・リサーチ・プログラムのディレクターを務めるミカ・アールトラ氏は、次のように述べています。

「この報告は、北欧諸国にとって特に重要な意味を持っています。スウェーデンやフィンランドといった小さな国は特に、こうしたスパイ活動に弱いのです。北欧およびバルト諸国は常に、ロシアと西側の利益の間でバランスを取ろうとしてきた中で、ロシアは自分たちに有利に働くよう、サイバー攻撃能力を活用しているのです。サイバー攻撃を仕掛けたと知られると批判の対象になるため、ロシアは自分たちの活動を否定しています。そして、自分たちの影響力をよりソフトに、より目に見えない形で及ぼそうとしているのです。」

マールドレ氏とアールトラ氏は現在、レティオ氏のデュークに関する調査を考慮した研究に取り組んでいます。レティオ氏による「デューク:ロシアのサイバースパイ活動の7年」と題したホワイトペーパーは、エフセキュアラボのサイトですでに提供しています。

詳細情報:  
デュークのホワイトペーパー
デュークの歴史
エフセキュアラボ

CISAに関するQ&A

 2015年9月10日、米議会(特別)諜報委員会が世界規模のサイバー上の脅威について公聴会を開いた。

House (Select) Intelligence Committee Hearing on World Wide Cyber Threats – September 10, 2015
「世界規模のサイバー脅威」

 有力メンバーであるアダム・シフ議員は冒頭陳述において、CISA(Cybersecurity Information Sharing Act、サイバーセキュリティ情報共有法)の米議会版であるPCNA(Protecting Cyber Networks Act)の目的についてコメントしている。

House (Select) Intelligence Committee Hearing on World Wide Cyber Threats Transcript – Transcript
情報源:C-SPAN

 以下は、この件に関連するテキストの全文だ。

House (Select) Intelligence Committee Hearing on World Wide Cyber Threats – Schiff Opening Statement

 これでお分かりだろう。CISAの目的は「マルウェアを共有すること(to share malware)」なのだ。

 Q:それで、あなたはそう考えていると?

 A:そうだ、それがその目的だ。情報共有はマルウェアサンプルの共有と等しい。

 Q:CISAは監視法案だろうか?

 A:いや、そうではない。少なくとも私の考えでは違う。

 Q:しかしCISAは優れた法案だろうか?

 A:いや、私はそう思っていない。

 Q:なぜ?

 A:なぜなら私の見解では、CISAは軍とサイバー企業の複合体(military-digital complex)のための企業助成政策に過ぎないように見えるからだ。

 Q:CISAは成立するだろうか?

 A:諸々の兆候示すところは…イエスだ。

 @5ean5ullivan

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード