エフセキュアブログ

Windows 7 を含む記事

IoTはどこで作られているのか?

深圳(Shenzhen)は香港から電車で45分の中国国境内のきわにある「ハードウェアのシリコンバレー」とも呼ばれる経済特区の都市だ。人口は1500万人とも2000万人ともいわれ東京よりも大きく、高層ビルは278本もあり中国第4位の大都市となっている。
そして Tencent, Huawei, DJI, OnePlus, ZTE, Coolpad, Gionee, TP-Link, Beijing Genomics Instituteなどのエレクトロニクス、テレコム、バイオなどのハイテク企業が集中し、华强北(Huaqiangbei)という秋葉原の100倍はある巨大なエレクトロニクスタウンがある。iPhone他のエレクトロニクス製造で拡大してきた都市なので、電子部品、プリント基板製造、アセンブリー、プラスティック成形、金属加工などの企業が群をなして営業している。また好調な経済のため、生活物価は東京とたいして変わらなくなっている。

この深圳についてのビデオドキュメンタリー "Shenzhen: The Silicon Valley of Hardware" をWired UKが制作し、6月に公開された。全部で1時間強になるこのシリーズは、深圳でのIoTとMakersの興味深い最新の動きを取り上げている。

Part 1

Part 2

Part 3

Part 4

特にPart 2は、IntelがIoT向けに一昨年発表したフルPCの機能をSDカードサイズにまとめた「Edison」チップのディベロッパーフォーラムが4月に深圳で開催された場面から始まる。明らかにIntelは深圳がIoT開発の中心地のひとつになると踏んでいる。またIntelが食い込もうとしているIoT開発で、他に使われているのはArduinoやRaspberry Piなどで、ほとんどLinuxやオープンソース・ソフトウェアで動いているものが多い。
Intel Edison

深圳にはハードウェア開発に関わる大きな外国人コミュニティができていて、ヨーロッパやアメリカから来て深圳に住み着いてエレクトロニクス・ハードウェア開発のヒジネスを運営している人達も多い。一説ではシリコンバレーでのハードウェアも3割は深圳で作られていると云われるほどだからだ。

その一つ、HAXはハードウェア・スタートアップ企業のための世界最大のアクセラレーターだ。

当然地元の中国の人達が始めたハードウェア開発のサポートやブローカービジネスも多数ある。Seeed Studioはよく知られているものの一つで、日本にも窓口がある。

そして半田付け用具や測定器、金属加工器具、レーザーカッター、3Dプリンターなどを揃えた、ハードウェア自作派やスタートアップ向けのMaker Spaceと呼ばれる場所がいくつも出来ている。

深圳の動きには当然に日本でも注目している人達がいて、ニコニコ技術部の有志が一昨年から深圳の視察ツァーを開催している。その報告をまとめた「メイカーズのエコシステム」という書籍が4月に発売された。

このメイカーズというのはMakersのことで、O'Reillyが出している「Make」という自作派向けの雑誌から派生して開催されている「Maker Faire」というイベントなどで自作のハードウェアを見せたり販売したりする人達のことを指す。先週8月6,7日には「Maker Faire Tokyo」が東京でも開催されたばかりだ。
Maker Faireは深圳でも開催されている。

これらのインフラが出来ていることで、深圳発のハードウェア・スタートアップ企業が多数出現している。そして彼らのかなりがIoTを手がけている。Intelが深圳がIoT開発スタートアップの中心地のひとつになると考えるのは当然の流れだ。

クラウドファンディングサイトのKickstarterやIndieGoGoなどを眺めても、IoTカテゴリーに入るプロジェクトが多数見つかるし、それらはほとんどスタートアップ企業のことが多い。ところが日本では、特に政府関係者はIoT製品は既存の電機メーカーが作ると考えているのではないか? 7月にIoT推進コンソーシアムと経済産業省と総務省が共同で「IoTセキュリティガイドライン」を発表した。しかし、製品化に脇目も振らずに邁進するスタートアップ企業がこのようなややこしい資料を気にかけるとは考え難い。
さらにそれ以前に、日本でだけこのようなIoTセキュリティガイドラインを作ったとしても、IoT開発の主力地が深圳など海外にあるならまったく影響力は期待できないだろう。

さよならFLASH!第2.5弾 MICROSOFT EDGEの「CLICK TO FLASH」

FirefoxのFlashサポート縮小について記事を投稿したところ、Edgeブラウザに関する4月のMicrosoftの発表について指摘するコメントがいくつか寄せられた。これは、Edgeブラウザも「Click To Flash(クリックしてFlashを再生)」方式に変更されるというものだ。発表によれば、ウェブページの中心に配置されていないFlashプラグインは自動的に一時停止されるようになり、ゲームや動画などのコンテンツはこれまで通りに実行されるという。そうしたEdgeの変更はWindows 10のアニバーサリーアップデートで提供される。

もちろん、4月の時点でこのニュースには注目していたし、MicrosoftおよびEdgeチームの英断に対しては賛辞を送りたいと思っていた。

ms-edge-logo
 Microsoft Edgeのロゴ(画像の出典元: microsoft.com)

全文はBusiness Security Insider 日本語版で。 

AV-Comparativesによる現実世界のテスト結果

 AV-Comparativesは月次で「Whole Product Dynamic Real-World Protection」というテストを実施している。この組織は、2016年4月を対象とした3回目のテスト結果を今しがた公表した。そして今年これまでのところ、当社製品はよくやっており、非常に喜ばしく思っている。

AV Comparatives April Real-World test results
AV Comparativesの4月の「Whole Product Dynamic Real-World Protection」テストの結果

 AV-Comparativesの人たちは極めて網羅的なテストを実施している。現実世界の脅威に対し、セキュリティ製品がどれほど機能するかをきっちりと確かめるべく、実際に侵害されたサイトを求めてインターネットを調査して回るのだ。大抵の場合、侵害されたサイトは発見されると速やかに削除されることを考えると、これはきつい仕事だ。今回の最新のテストでは、彼らはWindows 7 SP1と、完全に更新した最新版のサードパーティ製のソフトウェア群をシステムに導入した。完全にパッチを当てられたソフトウェアを侵害し得る悪意あるサイトを見つけるのは大変だ。我々は彼らの勤勉さを称賛する。

 AV-Comparativesの今年のこのテスト全般において、当社は投げつけられた脅威を100%ブロックした(3回連続でブロックした、わずか2社のうちの1社だ!#hattrick)。しかしながら、わずかな誤検知に苦しめられた。これは主に、当社製品はサンプルの普及に基づいて決定を行うロジックを使用しているという事実による。テスト対象のサンプルの1つを目撃したことのある顧客がいなかったり、あるいは非常に少なかったりした場合には、サンプルの特異性に基づいてこれをブロックする可能性がある。当社の顧客がいまだ遭遇したことがないクリーンなサンプルを見つけたときに、Andreas Clementiと(彼らのクレジットによれば)彼のチームは、非常に狡猾なのだ。それが当該テストにおいて、当社がしばしば過検知してしまう理由である。しかし、それについて我々は大きなストレスを感じているわけではない。サンプルはいずれも重要なシステムファイルではなく、また当社製品に特別なロジックを組み込んでおり、システムやソフトウェアを破壊しかねないファイル群を決して誤検知と判定しないようにしている。結局我々にとっては、潜在的なちょっとした問題をすべて回避するよりも、出会う脅威をすべてブロックするほうが重要なのだ。

 しかし我々はそのロジックに基礎を置くわけではない。過去の投稿を思い出して頂きたい。我々は正規のファイルの収集および分析の自動化を改善する開発プロセスの途上にある。クリーンなサンプルを追い詰めたときには、Clementiと彼のチームを出し抜きたいと考えている。

 Andreasや、AV-Comparativesのすべてのスタッフに対し、彼らの行っている大変な仕事に謝意を示したい。彼らのテストは当業界には重要だ。そしてこうしたテストが我々にとって、顧客をどれだけ保護しているかについて、計り知れないほど貴重な測定結果となる。

Windows Script Hostを無効にする方法

 幾多のスパムキャンペーンで、添付されたzipファイルを経由でさまざまな暗号化ランサムウェアファミリー(とバックドア)が送り込まれている。そして典型的には、このようなzipファイルにはあるJScriptファイル(jsまたはjse)が含まれている。もしこれをクリックすると、Windows Script Host経由で実行される。

 よろしいだろうか。Windowsのレポジトリを編集して、Windows Script Hostを無効にしよう。

 レポジトリキー(フォルダ)は以下だ。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings

 「Enabled」という名前で新たなDWORDの値を作成し、値のデータを「0」にセットする。

Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings

 その後jsファイルをクリックすると、以下を目にすることになる。

Windows Script Host access is disabled on this machine. Contact your administrator for details.

 脅迫文を見るよりもマシだ。


2016年4月20日更新:代わりにHKEY_CURRENT_USERを使うのでも良い。

PowerShellを悪用したマルウェアが徐々に増加の予感!?

侵入後にPowerShellを悪用する事例が多く聞かれるようになりましたが、マルウェアの配送(メール、ウェブ経由)の際にも利用されているケースが出てきています。
まだ、多くは確認できていませんが、攻撃者にとって有用であることを考慮しますと、徐々に増加するものと予想されます。
現在のところ、その特性上のせいかウイルス対策ソフトによる検知率は芳しくありません。

下図のケースでは、ワードファイルを装ったショートカットファイルに細工が施されたもので、PowerShellを利用して外部の悪性サイトからマルウェアをダウンロードする仕組みになっています。

shortcut with powershell

その他では、XLSファイルにPowerShellが埋め込まれているものを確認しています。
Windows 7 から標準搭載されているPowerShellは大変便利な拡張可能なシェルです。しかし、それ故に悪用も容易である事は想像に難くありません。
その点を考慮してかはわかりませんが、スクリプト・ファイル(.ps1拡張子)の実行はWindowsの標準設定では制限されています。
しかし、安心はできません。実は、以前から既に回避策は多数報告されています。これらの現状に鑑みますと、今後を見据えての対策を検討しておきたいところです。

参考URL:
15 Ways to Bypass the PowerShell Execution Policy
https://blog.netspi.com/15-ways-to-bypass-the-powershell-execution-policy/


エフセキュアのクラウド型セキュリティソリューションPSBの日本国内シェアが大幅増進

2015年8月25日に発行された調査レポート「情報セキュリティソリューション市場の現状と将来展望2015 外部攻撃防御型ソリューション編」(株式会社ミック経済研究所)によると、エフセキュアのクラウド型セキュリティ・ソリューション「エフセキュア プロテクション サービス ビジネス(以下PSB)」の日本国内でのシェアが大幅に増進したことが明らかになりました。

当レポートはPSBの2015年度のASP・SaaS型アンチウイルス・アンチマルウェア出荷金額シェアが14.3%に達したことを示しています。2013年度では7.6%、2014年度に9.2%であったシェアが大きく伸び、初めて二桁台となりました。

エフセキュア株式会社のカントリーマネージャであるキース・マーティンは「マイナンバー制度導入を目前に控え、また標的型攻撃が企業規模に関わらず広がっている現在、中小中堅企業での情報セキュリティ強化の必要性がますます高まっています。特にPSBはマイナンバー制度対応で求められているサンドボックス機能を標準で備えており、中小中堅企業でのセキュリティ対策強化の手段として有効です」と語っています。

エフセキュアのPSBは、クラウド型でサーバレス運用管理を実現した統合的なセキュリティソリューションで、WindowsやMacのワークステーションから、WindowsとLinuxのサーバ、さらにiOSとAndroidのモバイル端末まで一元管理を可能にします。管理サーバはWeb を通してエフセキュアから提供されるため、新たにサーバを構築する必要はありません。Web 上のGUI を通して、各エンドポイントにインストールされた統合型アンチウイルスソフトの設定・運用・管理を、簡便かつローコストで実現します。IT リソースやIT 投資に制限のある中規模・小規模の企業向けの製品です。

詳細:
エフセキュア プロテクション サービス ビジネス(PSB)

最悪のプライバシー保護機能を持つ、WINDOWS 10にアップグレードする必要はなし




Windows 10があなたのデータを狙っています。

例えば、Windows 10は、これを実行しているデバイスに対し、追跡目的で固有の広告用IDを割り当てます。また、ユーザーが言うこと、タイプすることはすべて、ソフトウェアコンフィギュレーションやネットワーク利用、接続データなどを含むテレメトリデータとともに、Microsoftが処理することができるようになっています。これらの多くはオフにすることができます(テレメトリによる収集のすべてが、オフにできるわけではない)。まだの方は、Windows 10のプライバシー設定について、確認してみましょう

TechDirtのカール・ボードは次のように説明しています。「(Windows 10の新たなデジタルアシスタント、Cortanaのような)おせっかいな機能の多くを無効にしても、Windows 10は、ユーザーの制御下にあるとは言えないマザーシップRedmond(Microsoftの本社所在地)への暗号化されたチャンネルを、絶え間なく、うっとうしいほどに次々と開いていきます。」

Windowsの利用状況は分断された状態にあり、これを減らすために、Windows“最後の”エディションへのアップグレードは、無償提供されています。

ただ、アップグレードしていない人、これからもしない人のために言っておきますが、Microsoftはどのユーザーにも自分だけ無視されたという気持ちになってほしくないと考えているようで、Windows 7やWindows 8に対する新たなアップデートにより、Windows 10のテレメトリ収集機能が、これらのバージョンにも追加されます。

Ghacksのマーティン・ブリックマンは次のように書いています。「これらのアップデートがシステムにインストールされると、システム上のさまざまなアクティビティに関するデータが、定期的にMicrosoftに送られます。」 彼はこれらをインストールしないように、呼びかけています。

これらをインストールしてしまった場合、Customer Experience Improvement Program (CEIP)をオプトアウトすることで、データ収集機能の多くをオフにすることができます。Windows 8では、コントロールパネルのAction Centerで設定できます。メニューの左側で、「Change Action Center Settings」を選択してください。

これはプライバシーへの懸念という点で、どれほど大きな問題でしょうか?

要は、あなたが自分のデバイスを使って行っていることのほぼすべてに、何らかの形でMicrosoftにアクセスを許可するという点で、あなたがMicrosoftをどれほど信用しているか、ということにかかっています。Windows 10は色々と高い評価を得ていますが、データ収集の積極性のせいで、今後はプライバシー重視のユーザーの多くを、カスタマイズ性の高いLinux OSへと向かわせることになるでしょう。

一般的なユーザーに関しては、あらゆるデバイスのコネクテッドネスが高まることで、購入時にプライバシーについて、さらに深く考えざるを得なくなるでしょう。これまで私たちの多くは、「私の車や冷蔵庫は、どのようなデータを追跡している?」などということは考えもしませんでした。

Microsoftが、ユーザビリティや安定性のために製品の監視をしなければならないというのもわかりますが、その監視が製品以外にも及ぶとなれば、ユーザーが反発しても当然と言えるでしょう。


>>原文へのリンク

Apple iOS 9のセキュリティ機能

 アップル社の2015年のスペシャルイベントが本日開催される。つまり、9月9日=iOS 9の発表、だ。

 アップルはiOS 9においてセキュリティが向上していることを確約している。Touch ID用に6桁のパスコードを実装したことは、広く報道されているものの一例だ。

iOS 9 improved security
ソース:アップル

 セキュリティ研究者のFrederic Jacobsによる、ドキュメントにある変更点についての秀逸な要約がMedium上にある。

 私がiOS 9のパブリックベータ版をテストしている際に気付いた細かい変更点は、Windowsに関連するものだ(*1)。

 iTunesがインストールされているコンピュータ(OS Xを実行しているあらゆるコンピュータを含む)に、iOS 9のデバイスを接続した際に目にするプロンプトを以下に示す。

iOS 9, Trust This Computer?
Trust This Computer?(このコンピュータを信頼しますか?)

 そして以下は、iTunesのドライバがインストールされていない(Windows)コンピュータに、iOS 9のデバイスを接続した際に見られるプロンプトだ。

iOS 9, Allow this device to access photos and videos?
Allow this device to access photos and videos?(このデバイスが写真およびビデオにアクセスすることを許可しますか?)

 これは些細だが、興味深い差異だ。「Allow」は制限されたアクセスを示唆する一方で、「Trust」ではより重要な何かを示唆している。かつて、iOSを狙ってクロスプラットフォームのマルウェアが試みられたことがあった。このAllowプロンプトがあることで、注意深い観察者なら、そうしたクロスプラットフォームのマルウェアがそこに存在していることを判定できるだろう。iTunesがインストールされていないと分かっているWindowsコンピュータにiOS 9デバイスを接続したとして、信頼する(Trust)かどうかを尋ねられたら…、信頼してはならない。

 もう1つ、細かいが大歓迎の変更点は、7月にブログに書いたSafariの新たな機能だ。

 SafariをJavaScriptによる警告ダイアログの無限ループに陥らせようとする詐欺サイトは、Safariの新たなオプション「Block Alerts(警告をブロックする)」によって、彼らの努力が無になったことを知るだろう。

iOS 9 Safari, Block alerts from?
Block alerts from?(〜からの警告をブロックしますか?)

 全般的に見て、iOS 9は良い感じだ。今日のアップルのイベントの最中に、さらにセキュリティに関する情報が出てくることを望んでいる。また9月16日に予定されている、iOS 9の一般公開を楽しみにしている。

 @5ean5ullivan

 (*1) Kali Linuxでテストしたところ「Trust」プロンプトが得られた



SofacyがCarberpとMetasploitのコードを再利用する

1. まえがき

 Sofacy Group(Pawn StormまたはAPT28の別名でも知られる)は、彼らの仕掛けるAPTキャンペーンにおいてゼロデイエクスプロイトをデプロイすることでよく知られている。一例を挙げると、Sofacy Groupが最近利用した2件のゼロデイは、Microsoft OfficeのCVE-2015-2424とJavaのCVE-2015-2590という脆弱性の悪用だった。

 この悪用が成功するとSofacyのダウンローダコンポーネントがインストールされるが、我々が今まで目にしてきたダウンローダとは異なっている。このダウンローダは悪名高きCarberpのソースコードをベースにしている。当該コードは2013年の夏に漏えいし、パブリックドメインとなったものだ。

1.1 Firefoxのブートストラップ型アドオン

 我々は今年の春、ゼロデイエクスプロイトとは別に、Firefoxのブートストラップ型アドオンなど別の手段でデプロイされた、Carberpベースのダウンローダにも遭遇した。だがブートストラップ型のアドオンとは何だろうか?Mozillaによれば、ブラウザを再起動することなくインストールおよび使用が可能なアドオンの一種とのことだ。

 このSofacyのアドオンのインストールは、主にソーシャルエンジニアリングに頼っている。ユーザが悪意のあるWebサイトや侵害されたWebサイトを訪れると、このアドオンをインストールするように促されるのだ。

HTML5 Rendering Enhancements 1.0.
図1:Sofacyのアドオン「HTML5 Rendering Enhancements」

 メインのコードは、アドオンのパッケージ内にあるbootstrap.jsに格納されている。アドオンが有効になった時点で、前述のJavaScriptはSofacyのCarberpベースのダウンローダを次のURLからダウンロードする。

hxxp://dailyforeignnews.com/2015/04/Qih/north-korea-declares-no-sail-zone-missile-launch-seen-as-possible-reports/579382/hazard.edn

 ペイロードはvmware_manager.exeとしてローカルに保存される。

 このブートストラップ型アドオンの技術は、完全に新規のものというわけではない。2007年にはドキュメント化されており、主に潜在的に迷惑なアプリケーションで使われている。しかしながら、Sofacyがこの手法を使っているのを目にするのは、初めてのことだ。Sofacyのbootstrap.jsファイル内のコードの大半は、Metasploitから直接コピーされたもので、{d0df471a-9896-4e6d-83e2-13a04ed6df33}というGUIDや「HTML5 Rendering Enhancements」というアドオン名が含まれている。その一方で、ペイロードをダウンロードする部分はMozillaのコード片の1つからコピーしていた。

2. ドロッパーとDLLに関する技術情報

 このエクスプロイトを使用した文書ファイルやアドオンは、PE実行ファイルを運んでくる。この実行ファイルは、自身に組み込まれているDLLをシステムにインストールするものだ。実行ファイルの大きさは100KB内外で、ファイル圧縮はされていない。一方、インストールするDLLは標準的なWindows APIを用いて圧縮されており、ディスクにドロップする前にRtlDecompressBufferで展開する。我々が見てきた全サンプルが有する重要かつ共通の特徴は、「jhuhugit.temp」という名前の一時ファイルだ。このファイル名は、実行ファイル内にあるほぼ唯一の平文の文字列だ。他の文字列は、固定の11バイトのキーを使ったXORアルゴリズムにより難読化が図られている。一部のサンプルに現れる興味を引く別の文字列は、「bRS8yYQ0APq9xfzC」という暗号キーだ。GitHubにあるCarberpのソースツリーで見つかった固定の「メインパスワード」の1つと一致するものだった。

 このDLLは、OSの実行ファイルであるrundll32.exeを使い、「init」という名前でエクスポートされているものが実行される。DLL自体には多くの機能はない。単純にループし続けて、30分ごとに決まったC2サーバ群のうちの1台に問い合わせを行う。我々は生きているペイロードをこれらのサーバからいまだ取得できていないが、コードに基づくと、DLLは最初に自身が実行されたときとまったく同じ方法でペイロードの実行のみを行う。C2サーバのアドレスや他の設定データは、同じ11バイトのXORキーアルゴリズムを用いて難読化されている。これまでのところ手が込んでいるようなことは何もないが、同じCarberpのパスワードが、しかも我々が見てきたすべてのDLLで使われている。我々はこの関連性を発見しようとするほど、好奇心をそそられた。

 DLLのリバースエンジニアリングを注意深く行うことで、このファミリーはCarberpのソースコードをベースとしていることが明確になった。コードのレポジトリはGitHubで見つかるものとまったく同じではないが、後述する主張をするのに十分なほど似通っている。今回Sofacyが使ったCarberpのソースをベースにした機能には、API解決アルゴリズムとコードインジェクションメカニズムが含まれる。またランダムなURLを生成するために用いたアルゴリズムも、大まかにはCarberpに基づいている。

3. Carberpのソースコードとの比較

3.1. API解決アルゴリズム

 公開されているCarberpのソースコードでは、実行時にAPIが解決される。これには以下のようなコードの構造を用いている。

#define pLoadLibraryA   pushargEx< DLL_KERNEL32, 0xC8AC8026, 2 >

 例では、pLoadLibraryAという関数が別のpushargEx関数で定義されている。この関数には以下の引数が与えられている。

  • モジュールの識別子として、この例ではDLL_KERNEL32
  • 関数名のハッシュ値としてC8AC8026。これは実行時に計算される
  • 関数のキャッシュのインデックスとして「2」

 このpushargEx関数は複数の定義により、見込まれる引数の数のすべてに対応する。引数が5個の場合の定義を以下に例示する。

inline LPVOID pushargEx(A a1, B a2, C a3, D a4, E a5)
{
    typedef LPVOID (WINAPI *newfunc)(A, B, C, D, E);
    newfunc func = (newfunc)GetProcAddressEx2( NULL, h, hash, CacheIndex );
    return func(a1, a2, a3, a4, a5);
}

 PushargExGetProcAddressEx2に行きつく。この関数は名前のハッシュ値に基づきAPIの関数アドレスを割り出すものだ。その後、当該アドレスの関数が実行される。このような構造にした目的は、通常コード内にある標準的なWin32のAPI関数を、「p」という文字を関数名の先頭に追加して使えるようにすることだ。その結果得られるコンパイル後のコードは、あまり読みやすいものではない。したがってリバースエンジニアリングの過程に時間がかかるようになる。また、このような完全な位置独立コードによる恩恵もある。コードインジェクションには都合が良いのだ。

 CarberpのソースツリーにはAPIのハッシュ値と、対応するキャッシュのインデックスのリストが含まれる。以下のような素敵なリストだ。

Carberp API list.
図2:CarberpのAPIリスト

 ここでSofacyのバイナリコードに戻ろう。逆コンパイルしたコード片の実例から、Sofacyが同じハッシュアルゴリズムとインデックスの採番方式を採用していることは明白だ。

Sofacy GetModuleHandleA
図3:SofacyのGetModuleHandleA

 GetModuleHandleAは、Sofacyが動的に解決する数多くの関数の1つに過ぎない。ただしそれらの関数はすべて、Carberpのソースコードと完全に一致する。ハッシュ値や引数、インデックス値までもだ(図2のインデックス番号の#43を見てほしい)。

 API解決部分までさらに観察していくと、GetProcAddressExおよびGetProcAddressEx2と名付けられた関数に著しい類似性が見られた。CarberpのソースとSofacyのバイナリを逆コンパイルしたコードのGetProcAddressEx2のスクリーンショットを、以下に並べて示す。

GetProcAddressEx2 from Carberp and Sofacy.
図4:CarberpおよびSofacyのGetProcAddressEx2

 CarberpのソースとSofacyのバイナリを逆コンパイルしたコードのGetProcAddressExの類似性の比較は以下のようになる。

GetProcAddressEx from Carberp and Sofacy
図5:CarberpおよびSofacyのGetProcAddressEx

 上記の逆コンパイルしたコード片においては、意図的にすべての関数と変数の名前がCarberpのソースに従うようにした。これは単に説明のためだ。

3.2. コードインジェクション

 Sofacyは、ネットワーク周りのコードすべてにおいてコードインジェクションを用いている。自身の関数をブラウザのプロセス群にインジェクションするのだ。プロセス群を探すために、Carberpのプロセス名ハッシュアルゴリズムを用いている。このような仕組みにした目的は、十中八九パーソナルファイアウォールやその他のビヘイビア検知システムを迂回するためだ。

 コードインジェクションはInjectIntoProcessという名前の関数から開始する。この関数はプロセスをオープンしてInjectCode4 によりコードを注入し、CreateRemoteThreadで実行する。以下にCarberpのコード片を示す。

InjectCode4 from the Carberp source.
図6:CarberpのソースにあるInjectCode4

 SofacyのバイナリにあるInjectIntoProcessInjectCode4が、この機能を結び付けている。

InjectIntoProcess from Sofacy
図7:SofacyにあるInjectIntoProcess

Figure 8: InjectCode4 from Sofacy
図8:SofacyにあるInjectCode4

3.3. ミステリアスなメインパスワード

 Carberpのソースには、MainPassword、あるいはRC2_Password、DebugPasswordと呼ばれるパスワードが存在する。このパスワードの取り得る値の1つが「bRS8yYQ0APq9xfzC」というもので、Sofacyでも使用されている。Carberpにおけるこのパスワードの目的は、たとえばHTTPトラフィックの暗号化だ。一方Sofacyでは、まったく異なる方法で使用されている。SofacyではAPI解決のためのアルゴリズムに手が加えられており、そこでこのパスワードを用いている。Carberpでは、API解決部分において平文でDDL名のリストを持っている。GetProcAddressEx2が参照するインデックスパラメータのことだ。Sofacyではこのリストは、Carberpの「メインパスワード」を用いて単純なXORベースのアルゴリズムで難読化がなされている。

4. 結論

 本ブログ記事で示された分析に基づけば、新たなSofacyのダウンローダはCarberpのソースコードをベースにしている。しかしながら非常に大きな違いもある。たとえばAPIの解決や、Carberpのメインパスワードの使用といったものだ。その関連について我々が下せる結論とは?Sofacyの一味は、Carberpのソースコードのプライベートなソースツリーを保有していることを意味すると、我々は考えている。APIの解決部分でDDL名を保護するためにパスワードを使用していることは、GitHubで一般公開されているソースよりも新しいことを示唆するものだ。これはSofacy一味は単にソースツリーをコピーして開発を継続していることを意味するのだろうか?あるいは、舞台裏で誰か別の人物がさらに開発を重ねているのだろうか?これについては、我々はまだ把握していない。しかしSofacyとのつながりや、さらに加えて(Carberpをベースにしている)AnunakやCarbanakによる最近のインシデントにより、Carberpがいまだに健在であることが示唆される。

5. ハッシュ値

bootstrap.js:

e7d13aed50bedb5e67d92753f6e0eda8a3c9b4f0

ドロッパー:

b8aabe12502f7d55ae332905acee80a10e3bc399
015425010bd4cf9d511f7fcd0fc17fc17c23eec1
51b0e3cd6360d50424bf776b3cd673dd45fd0f97
4fae67d3988da117608a7548d9029caddbfb3ebf
b7788af2ef073d7b3fb84086496896e7404e625e
63d1d33e7418daf200dc4660fc9a59492ddd50d9
b4a515ef9de037f18d96b9b0e48271180f5725b7
f3d50c1f7d5f322c1a1f9a72ff122cac990881ee

DLL:

5c3e709517f41febf03109fa9d597f2ccc495956 (逆コンパイルされたコードの例)
ed9f3e5e889d281437b945993c6c2a80c60fdedc
21835aafe6d46840bb697e8b0d4aac06dec44f5b
d85e44d386315b0258847495be1711450ac02d9f
ac61a299f81d1cff4ea857afd1b323724aac3f04
7319a2751bd13b2364031f1e69035acfc4fd4d18
b8b3f53ca2cd64bd101cb59c6553f6289a72d9bb
f7608ef62a45822e9300d390064e667028b75dea
9fc43e32c887b7697bf6d6933e9859d29581ead0
3b52046dd7e1d5684eabbd9038b651726714ab69
d3aa282b390a5cb29d15a97e0a046305038dbefe


トラッカーは制御不能だ

 最新のWebの分析やトラッキングは、完全に制御不能だ。この件で私にとって問題なのは、プライバシーなどではなくむしろユーザビリティについてである。トラッカーは実質的に「ダイヤルアップインターネット」の感じを再現している(子供は両親に聞いてくれ)。現在は2015年だが、多数のWebサイトの重さは1999年並になっている。

 そして今日では、この問題が至るところで顕在化しているようだ。

 有名な実店舗型の小売店のWebサイトをGhosteryで可視化しながら見てみよう。以下は米国向けにローカライズされたイケアのWebサイトで、サードパーティのCookieは有効になっている。

Ikea's US localization with third-party cookies allowed.
サードパーティのCookieを許可したときの、米国向けにローカライズされたイケアのサイト(Windows版のFirefox 40で表示)

 Ghosteryによると、9つの異なるトラッカーリソースが読み込まれている(Ghosteryを使っているのはブロックするためではなく、可視化のため)。よし、結構。

 そして以下はフィンランド向けにローカライズされたイケアのWebサイトで、サードパーティのCookieは許可していない

Ikea's Finnish localization with third-party cookies disabled.
サードパーティのCookieが無効になっている、フィンランド向けにローカライズされたイケアのサイト

 Ghosteryによると、11の異なるトラッカーが読み込まれている。しかし思い出してほしい…、これにはサードパーティのCookieは入っていない。では、サードパーティのCookieを有効にすると何が起きるだろうか?

 さらに38個のトラッカーが仲間入りだ!

Ikea's Finnish localization with third-party cookies allowed.
サードパーティのCookieを有効にした、フィンランド向けにローカライズされたイケアのサイト

 合計で49個のトラッカーだ(ちょっと度を超えていると感じる。違うかい?)。

 これは実に意味不明だ。私は単に、実際の店舗を訪れる前にウィンドウショッピングをちょっとしたかっただけなのだ。

 ただとにかく…。

 トラッカー一式をオープンにすることで、それらのCookieがうまく読み込まれてドロップされることになると、たいていの場合はトラッカーはさらに多くのリソースを取得し、その結果としてブラウジングの速度を落とすことになる。

 通常私は、トラッカーをブロックする目的で、すべてのサードパーティCookieを許可していない。これにより、不都合が生じることはほとんどない。しかしながら、私の同僚の1人がこの設定をテストしたところ、ソニーのPlayStation Networkといったサイトにはログインできないことがわかった(ただし、この場合は別のブラウザを使うことをお勧めする)。こうした点は考慮に入れる必要がある。

 主に使うブラウザでは、「サードパーティのCookie」を「許可しない」に設定することを勧める。

 以下はWindows版のFirefox 40の場合だ。

about:preferences#privacy
Firefox > オプション > プライバシー

 以下はWindows版のChrome 44の設定だ。

chrome://settings/content
Chrome > 設定 > 詳細設定を表示 > コンテンツの設定

 また、以下はiOS 9の設定だ。

iOS 9 Settings, Safari, Privacy & Security
iOS 9 > 設定 > Safari > プライバシーとセキュリティ

 iOSでは「Allow from Current Website Only(アクセス中のWebサイトのみ許可)」を用いている。

iOS 9 Settings, Safari, Privacy & Security, Block Cookies
iOS 9 > 設定 > Safari > プライバシーとセキュリティ > Cookieをブロック

 そして次に、言うまでもなく、トラッキングフィルタありのVPNを経由して、ネットワーク側の資源のトラッキングをブロックすることもできる。

Ikea's Finnish localization with third-party cookies allowed, using Freedome.
サードパーティのCookieを有効にした、フィンランド向けにローカライズされたイケアのサイト。Freedomeを使用

 上図のとおり、当社のFreedome VPNにより、読み込まれるトラッカーの数がわずか2つに削減されている。ずっと良い。

 どのような方法を選んだとしても、可能な限りすぐにトラッカーを停止することが、よりよいブラウジング体験へとつながる。

 楽しんでほしい。

 @5ean5ullivan



Windows 10を安心して使用するために知っておくべき5つのこと




Windows のアップグレードは、これまで国際的なお祭りのようなものでした。世界で最も普及しているOSであるWindowsの最新バージョンが発売されるたびに、パソコンユーザはバージョンアップをし、Windows 7のどこが気に入ったかとか、Windows 8 やVistaのここが気に入らないなどと意見交換をしたものです。

このように考えると、 Windows 10は1つの時代の終わりを象徴するものです。

Windows 10はWindowsの「最後のバージョン」です。Windows は今や普遍的であり、Windowsと互換性を持つほぼすべてのデバイスが、同様の使用感を提供しています。Windows 10にバージョンアップした後は、継続的なアップデートはありますが、新しいバージョンにアップグレードすることはありません。これは「サービスとしてのWindows」の誕生であると『The Verge』は述べています。

最新バージョンへの無料アップグレードを検討しているか、あるいはWindows 10が搭載された新しいコンピュータの購入を予定している場合には、これから述べる5つの点をおさえて、今後長年にわたる利用も想定されるWindowsの予備知識を持っておきましょう。

1. エフセキュアのチーフ・リサーチ・オフィサーであるミッコ・ヒッポネンによると、Windows 10 でも、ダブルエクステンション形式のファイルの場合、初期設定では拡張子が非表示になっています。
この点に関して、エフセキュアのセキュリティ・アドバイザーであるトム・ギャフニーは『Infosecurity Magazine』で次のように述べています。「『doubleclick.pdf.bat』という名前のファイルがあったとします。Windowsで『登録されている拡張子は表示しない』が有効な場合、このファイルはエクスプローラでは 『doubleclick.pdf』と表示されます。PDFファイルと表示されているので、ユーザがこのファイルを選んでダブルクリックしてしまう可能性があります」

「しかし実際にはこれはバッチファイル(.batファイル)で、ダブルクリックすると複数のコマンドが実行されるようになっているのです」

正体不明なファイルを誤ってクリックしないよう、この点に留意しましょう。

2. すべての連絡先とWi-Fi ネットワークのアクセスを共有することになってしまう可能性があります。
Windows Phone が現在そうであるように、Windows 10でも初期設定ではソーシャルメディアに登録された連絡先とWi-Fi ネットワークのアクセスを共有するようになっている点について、Windows 10が搭載している Wi-Fi Sense が、セキュリティリスクであるかどうかに関しての専門家の意見は分かれています。

『ZDNet』のエド・ボット氏は、「ユーザは意識してネットワークアクセスの共有を有効にするはずであり、偶然そうしてしまうとは考えにくい」と指摘し、セキュリティリスクには該当しないと述べています。

一方、セキュリティエキスパートのブライアン・クレブス氏はそれに懐疑的で、ユーザが「これらの確認メッセージに対して、『はい』をクリックしてしまいがちである」点を理由として挙げています。

『The Register』のサイモン・ロックマン氏は次のように述べています。「理論上は、小規模なビジネスネットワークにアクセスしたいと考えた場合、まず従業員数人とソーシャルメディア上で友達になってから、オフィスの駐車場まで運転して無線ネットワークの範囲内に入り、アクセスすることが可能です。このような事態を防止するためには、基本的な保護手段、特にパスワードの共有を防ぐような安全策が有効です」

エフセキュアのセキュリティ・アドバイザーであるギャフニーは、Windows 10に搭載されているWi-Fi Senseは、「偶発的な誤用、あるいは故意の不正利用の影響を受けやすい」と指摘しています。

ユーザはどのような対策を取るべきでしょうか。

クレブス氏は以下が望ましいと述べています。
  1. Windows 10にアップグレードする前に、Wi-Fi のネットワーク名(SSID)を「_nomap_optout」という語句を含む名前に変更しておきましょう。(これでネットワークをWi-Fi Senseから除外することになります)
  2. アップグレード完了後は、Windowsのプライバシー設定を変更して、Wi-Fi Sense によるWi-Fi ネットワークのアクセスの共有を無効にしておきます。

3.  プライバシー問題についてもいくつかの点を理解しておきましょう。
 『The Next Web』のミック・ライト氏は、基本的には「いかなる場合でも、Microsoft はユーザが何をしているかを把握している」と指摘しています。

Microsoftのサービス規約によると、Microsoft は「『Windowsで実行中のアプリケーションの使用データ』や『顧客が接続するネットワークに関するデータ』などを含む、顧客や顧客のデバイスから」のデータを収集することができ、必要もしくは妥当と判断された場合には、これらの情報を第三者に開示することができます。

この点について、ユーザにできることは非常に限られていますが、 プライバシー設定を確認して、広告主に個人情報がもれることを防ぐことはできます

プライバシー問題について詳しく知りたい場合は、『Extreme Tech』をご参照ください。

4.  Windows 10の新しい「アクションセンター」は便利ですが、管理が面倒になる可能性があります。
すべての通知をまとめたアクションセンターにより、Windows は iPhoneに似てきているようにも思われます。これは、デジタル化が進むことが、結局同じところにたどり着くことだからではないでしょうか。

『BGR』のザック・エプスタイン氏は 「すべての通知をアクションセンターでまとめて確認できるという改善は、歓迎すべき」と述べています。しかし、アクションセンターの管理する通知が膨大になり、管理が面倒になる恐れもあります。

また、エプスタイン氏は次のようにも述べています。「Windows 10では、システムトレイで通知アイコンをクリックすれば通知設定を変更できます。[設定]を開き、[システム]と[通知とアクション]の順に選択するのです」

5.  もちろん、エフセキュアの提供する「F-Secure SAFE」、および「インターネットセキュリティ」、「アンチウィルス」は、すべて Windows 10 に対応しています。


>>原文へのリンク

iOSクラッシュレポート:ポップアップブロックが必ず役立つわけではない

 木曜日、テレグラフ紙はiOSユーザを標的にした詐欺に関する記事を掲載した。以下はその要点だ。詐欺師たちはJavaScriptによるダイアログを用い、いわゆる「iOSクラッシュレポート」という警告を表示して技術サポートへ電話をするように促す。このテレグラフ紙の記事の終わり近くに、次のような助言が示されている。

 「To prevent the issue happening again, go to Settings -> Safari -> Block Pop-ups.(この問題の再発を防ぐには、「設定>Safari>ポップアップブロック」に進む。)」

 残念ながら、この助言は正しくない。さらにおそらくもっと残念なことは、この不適切な助言を数々のWebサイトで繰り返しているセキュリティや技術の評論家たちが、今もなお存在することだ。どうしてこの助言が間違いだと分かるのだろうか?なぜなら当社では実際にこれをテストしたのだ…。

 まず始めに、この「iOSクラッシュレポート」詐欺は技術サポート詐欺のバリエーションの1つであり、早くも2008年には事例が確認されている。かつてはインド国内のコールセンターから、直接的に売り込む電話がかかってきた。しかしここ最近では、Webベースで誘惑をして、潜在的な被害者が詐欺師に連絡をするように仕向けている。

 Googleで次のテキストを検索すると、いくつかの活動中の詐欺サイトが得られる。

 「"Due to a third party application in your phone, IOS is crashed."(このスマホ内のサードパーティーのアプリケーションによって、iOSがクラッシュしました)」

 以下はこうしたサイトの1つで、iPad上のiOS Safariで表示している。

iosclean.com

 Safariの「詐欺Webサイトの警告」や「ポップアップブロック」といった機能では、このページが読み込まれるのを防げなかった。

 上図でポップアップのように見えるものは、実際にはJavaScriptで生成したダイアログである。自分自身で再生成し続け、消すことが非常に難しくなることがある。SafariのJavaScriptをオフにすることが、一番手っ取り早く制御を取り戻す方法だ。残念ながら、JavaScriptを無効にしたままでは、数多くの正規のWebサイトで多大な影響があるだろう。

 以下はGoogle Chrome for Windowsで同じサイトを参照したものだ。

Prevent this page from creating additional dialogs

 この場合、「prevent this page from creating additional dialogs(このページでこれ以上ダイアログボックスを生成しない)」という文字が追加されていることに注意してほしい。(少なくともWindows用の)ChromeとFirefoxの現行バージョンでは、再生成をするダイアログにこのオプションを追加しており、ユーザがループを断ち切ることができるようになっている。悲しむべきことに、Internet ExplorerとSafariではこのようになっていない。(当社ではIE for Windows / Windows PhoneとiOS Safariでテストをした)。

 すべてのブラウザがこの回避機能をサポートしたら、すばらしことではないだろうか。

 もちろん、我々もそう思う。

 しかし事はブラウザだけではない。ブラウザを用いているアプリの機能も影響を受けることがある。

 以下はCydia経由で表示したJavaScriptのダイアログの例だ。

error1014.com

 テレグラフ紙の記事の最後には、ロンドン市警からの以下の助言も掲載されていた。

 「iCloudのユーザ名やパスワード、銀行の口座情報などを電話越しに他人に渡してはならない。」

 まったくだ!誰かにiCloudのパスワードを渡したら、サポート詐欺はただちにデータの乗っ取りや強奪のスキームに転じるだろう。当社では、複数の詐欺師の電話番号に電話をして、我々のiCloudの機密情報を尋ねるかを確認しようとしたのだが、かけてみた電話番号は現在使われていないことが分かっただけだった。

 願わくば、そのままでありますように。(そうならないだろうけど。)

F-Secure SAFE、Windows 10をサポート、さらにNetwork Checkerを提供

エフセキュアは、人気の高いセキュリティソフトウェアF-Secure SAFEの最新バージョンをリリースしました。この最新バージョンはWindows 10搭載デバイスをサポートします。これにより、今夏リリース予定の期待の大きいWindows 10オペレーティングシステムにデバイスをアップグレードした後も引き続き、エフセキュアが提供する最高のプロテクションのメリットを享受することができます。最新バージョンではさらに、Network Checkerと呼ばれる新しいネットワークレイヤセキュリティツールも併せて提供しています。Network CheckerはF-Secure SAFEをインストールしたWindows PCでご利用いただけます。

エフセキュアのコンシューマ・セキュリティ担当エグゼクティブ・バイスプレジデントであるサム・コンティネンは次のように述べています。「F-Secure SAFEがWindows 10をサポートすることを発表でき、とてもうれしく思っています。F-Secure SAFEは、オンライン上の脅威に対する、使いやすい包括的なセキュリティソリューションを提供します。多くの方々がご自身のデバイスやデジタルライフ、そしてご家族を守る上で、F-Secure SAFEに信頼を寄せてくださっています。エフセキュアはこの信頼を裏切ることなく、Windows 10にアップグレードした後も引き続き、これまでと同様のプロテクションを提供していきます」

マイクロソフトはWindows 10のリリースを7月29日に予定しており、現在Windows 7またはWindows 8.1をインストールしているPCに無償でアップグレードを提供すると発表しています*。

PCユーザ向けにNetwork Checkerを提供

F-Secure SAFEの最新バージョンでは、PCユーザ向けにエフセキュアの最新かつ革新的なネットワークレイヤセキュリティであるNetwork Checkerも提供しています。Network Checkerはインターネットに接続する際に使用しているネットワークの設定を検証し、設定が攻撃に対し無防備な状態に変更されることを防ぎます。高度なプロテクションレイヤを追加し、ご家庭でも、小さなカフェでWi-Fiホットスポットを利用するときでも、人々を安全に守ります。

デバイスがより「スマート」になっているため、ルータのハッキングといったテクニックが一般的になりつつあります。最近の調査では、ウイルスに感染している何万台ものルータがボットネットの作成に使われていることが明らかとなっています。ボットネットは大規模なDDoS(分散型サービス拒否)攻撃に不可欠な構成要素です**。 エフセキュア セキュリティ研究所によれば、設定が変更されていたことが判明した家庭用またはオフィス用ルータは2014年だけでも30万台を超えています***。

エフセキュアのシニアリサーチャーであるデビッド・ヘンティネンは、ルータやスマートデバイスは潜在的なリスクとして認識されていないため、攻撃者にとってますます魅力的になっていると言います。「ルータは放っておかれがちです。一度設定した後は部屋の隅に置かれ、二度と顧みられません。人々はファームウェアのアップデートのことなどまるで考えておらず、デフォルトのパスワードさえ変えていないこともあります。このため、ルータは攻撃者の標的となりやすく、攻撃者はルータをハイジャックすることにより、そこを通過するすべてのトラフィックを操作できるようになります」

Network Checkerはバックグラウンドで稼働し、所定の間隔で、または設定の変更を検知したときにネットワークをチェックします。潜在的なセキュリティの問題を検知した場合にはユーザに通知し、トラブルシューティングまたは問題の修復方法を提示します。Network CheckerはF-Secure SAFEをインストールしたWindows PCで利用することができます。Windows PC以外のデバイスをお使いの方には、オンデマンド型のF-Secure Router Checkerがウェブベースで同様の機能を提供します。

F-Secure SAFE、すべてのデバイスでクラウドセキュリティを実現

最新バージョンのF-Secure SAFEではMac版、iOS版、Android版を対象にいくつかの改善も行い、すべてのデバイスでクラウドセキュリティを実現しました。改善点は以下のとおりです。
  • Mac版にクラウドベースのレピュテーションスキャニングを追加。リアルタイムでファイルおよびウェブサイトのレピュテーションをチェックします。
  • Android版に次世代バージョンのエフセキュアのクラウドベースのマルウェアスキャニングを追加。クライアントベースとクラウドベースのアンチウイルス・プロテクションを組み合わせています。
  • Android版およびiOS版のペアレンタルコントロールを設計し直し、ユーザビリティを改善。

F-Secure SAFEはセキュリティとオンラインプライバシーの侵害から人々を守るオールインワンのセキュリティソリューションを提供します。エフセキュアの受賞歴のあるテクノロジーが組み込まれ、Windows PC、Mac、Android、iOS、Windows Phoneを搭載したデバイスにインストールすることができます。

*出典:http://news.microsoft.com/2015/06/01/windows-10-available-as-a-free-upgrade-on-july-29/
**出典:http://news.softpedia.com/news/DDoS-Botnet-Relies-on-Thousands-of-Insecure-Routers-in-109-Countries-480940.shtml
***出典:https://www.f-secure.com/documents/996508/1030743/Threat_Report_H1_2014.pdf

詳細情報:  
F-Secure SAFE  https://www.f-secure.com/ja_JP/web/home_jp/safe

ランサムウェアから身を守るための裏ワザ

エフセキュアブログでも頻繁に取り上げられているように世界中でランサムウェアが猛威を振るっています。
PC内のファイルを暗号化し使えなくすることで、重要なファイルを人質に取り、元に戻して欲しければ身代金(ランサム)を払え、というやつです。

TorLocker

どのアンチウイルスベンダーも再三警告しているのにも関わらず、感染被害は減る気配がないどころか増える一方です。
理由は、アンチウイルスベンダーと一般ユーザの間には次のような溝があるからだと思われます。

続きを読む

エフセキュア、「2014年下半期脅威レポート」日本語版を公開

エフセキュアは毎半期、セキュリティ脅威に関する世界的な状況をまとめた「脅威レポート」を発刊、一般公開しています。このたび、2014年の下半期についての脅威レポートの日本語翻訳版を制作し、提供を開始いたしました。

日本での脅威の傾向

2014年下半期にエフセキュア製品のユーザから当社監視システムに報告された、日本での脅威の統計は次のような順になりました。

  1. Worm:W32/Downadup
  2. Trojan:W32/Autorun
  3. Exploit:JS/NuclearEK
  4. X97M.Laroux
  5. Exploit:JS/AnglerEK
  6. Exploit:SWF/Salama
  7. Exploit:Java/Majava
  8. Trojan:HTML/Kilim
  9. Trojan-Downloader:W32/Dalexis
  10. Trojan:JS/Fbook

Downadup:WindowsのMS08-067の脆弱性を悪用するワームで、インターネット、リムーバブルメディア、およびネットワーク共有を介して拡散します。過去7年間、常に世界全体に蔓延しています。

Autorun:多くの場合、感染したリムーバブルメディアとハードドライブを介して感染が拡大するワームのファミリーです。データを盗む、バックドアをインストールするなどの有害な操作を実行することができます。

2014年下半期脅威レポートの日本語版は、こちらでご覧いただけます。
http://news.f-secure.com/ThreatReport2014H2

WhatsAppスパムをクリックしたフィンランド人が今日だけで22,000人以上

 当社のスレットインテリジェンスチームの上級研究員Daavidは、今朝「サムスンGalaxy Pro」をネタにした、WhatsAppアカウント宛てのスパムメッセージを2件受信した。

Onneksi olkoon!

 「Onneksi olkoon!Olet voittanut Samsung Galaxy Pro Tableting.」これを訳すと、次のようになる。「おめでとうございます!サムスンGalaxy Tab Proが当選しました。」このメッセージには、賞品の引換場所のリンクが含まれている。フィンランド中央部にあるゴルフコース、パルタモゴルフのど真ん中だ。

WhatsApp Spam WhatsApp Spam

 ちょっとした面白い偶然なのだが、昨年の夏、私はそこで家族でおいしいランチに舌鼓を打った。そこの電話番号に+86が付かないことは明白だ。+86は中国の国コードである。この132と150というプレフィックスは、それぞれGSMベースの電話網のものだ。

 WhatsAppの情報表示機能を使えば、プロフィール画像を拡大して表示できる。

WhatsApp Spam WhatsApp Spam

 この画像は、「Lotto24(訳注:ドイツの宝くじ)」の、とあるキャンペーンから引っ張ってきたもののようだ。

Google results

 iPhoneでは地図が表示された。Windows Phoneでも同様だった。

 しかしAndroid機では、地図はChromeにリンクしており、Googleの短縮URLを経由してlotto24.fiにリンクされていた。

 短縮URLのメトリクス(と集計)により、22,000人超の人々がスパムのリンクをクリックしたことが示されている。そして大半はフィンランドからだ。

Google link analytics
 (クリックで画像拡大)

 —————

 Daavidにスクリーンショットの礼を言う。

 Post by — Sean

ドキュメントにないLNKの機能に隠れるJanicab

 2年前、我々はJanicabというマルウェアを発見した。MacとWindowsを標的としており、それぞれPythonとVBSスクリプトを使用している。

 このマルウェアは、Windows OSではCVE-2012-0158を悪用したドキュメント経由で配信される。さらに2013年あたりから近頃まで、埋め込まれたエンコード済みのVBScriptをドロップする、Microsoft Shell Linkファイル(.lnk)の形式での配信も目にしている。

 目的を分かりにくくするため、このドロッパーが用いるトリックはいくつかある。

 - 拡張子を二重にしたファイル名(例:.jpg.lnk や .doc.lnk)
 - (デフォルトのcmd.exeの代わりに)notepad.exeのアイコンを使用
 - センシティブな可能性のあるデータ、たとえばマシンIDや相対パスなどはゼロで潰す

 しかしもっとも興味深いのは、コマンドライン引数の文字列をWindowsエクスプローラーから隠ぺいするために、ドキュメントにない方法を使っている点だ。一般的にWindowsエクスプローラーでは、ショートカットアイコンを右クリックすることで、プロパティの中でリンク先とその引数を一つの文字列として見ることができる。だが、今回のシナリオではコマンドラインの引数が見えないのだ。

1_Fotomama_screenshot (34k image)

 一連のシェルコマンドを&演算子で結合したものが、隠されたコマンドライン引数としてLNK内に存在している。

2_Fotomama_lnk (52k image)

 以下は、悪意あるVBEのドロップと実行を行う実質的な部分のコマンドのリストだ。

3_commands (34k image)

 このマルウェアスクリプトはMicrosoft Script Encoderを用いてエンコードされており、LNKファイルの末尾に埋め込まれている。

 実行すると、このスクリプトは以下のような囮のファイルをドロップする。

4_mama (68k image)

5_doc (555k image)

 Janicabは以前のバリアントと同様、C&Cサーバを取得するために、YouTubeなどサードパーティーのWebサービスをいまだに利用している。

6_youtubecomments (30k image)

7_blogspot (8k image)

8_googleplus (14k image)

 実際のC&CサーバのIPアドレスは、YouTube上で示されていた。しかし上図のように、マルウェア作者はC&Cサーバを分かりづらくしようとしてきた。最近のバリアントでは「our (.*)th psy anniversary」という形式のコメント内にある数値を収集する。

 実際のIPアドレスを得るには、当該Webサービスで見つけた数値を分割したり変換したりする。

9_ipconv (54k image)

 このバリアントで見つかったもう1つの変更点は、%UserProfile$\SystemFoldersnapIt.exeをドロップするところだ。このアプリケーションはスクリーンショットをキャプチャし、~PF214C.tmpとして保存するためにJanicabが使用している。

 また今では、自身がVirtualBox、Parallels、VMWareといった仮想マシン内で実行されている形跡があるか確認も行っている。同様に、以下のような実行中のプロセスを調べることにより、分析用のマシン上で実行されているかどうか確認している。

10_processes (77k image)

 今回のバリアントで、これまでに見つけたC&Cサーバの一覧は以下になる。
 • 87.121.52.69
 • 87.121.52.62
 • 94.156.77.182
 • 95.211.168.10

 C&Cサーバとの通信フォーマットは次のとおりだ。
 • [C&C]/Status2.php - C&Cサーバのステータスを確認
 • [C&C]/a.php?id=[SerialIDfromCnC]&v=[malware_version]&av=[InstalledAV] - cookieおよび囮ファイルが削除されたことを通知
 • [C&C]/gid.php?action=add&cn=[ComputerName]&un=[UserName]&v=[malware_version]&av=[InstalledAV]&an=[notifyName] - Serial IDを取得
 • [C&C]/rit.php?cn=[ComputerName]&un=[UserName]&an=[notifyName]&id=[SerialIDfromCnC]&r=[VMorRunningProcessName] - 分析用の実行中プロセスもしくはサンドボックス環境を通知
 • [C&C]/sm.php?data=[InstalledAV] - 起動メカニズムを取得
 • [C&C]/c.php?id=[SerialIDfromCnC] - コマンド群を取得
 • [C&C]/rs.php - スクリーンショットを送信
 • [C&C]/rk.php - データを送信
 • [C&C]/d.php?f=[Base64EncodedData] - ファイルをダウンロード

 このサンプルはTrojan-Dropper:W32/Janicab.Aとして検知される。

 SHA1のハッシュ
 • 4bcb488a5911c136a2c88835aa06c01dceadbd93
 • 41688ef447f832aa13fad2528c3f98f469014d13



 Post by — Jarkko and Karmina

FREEDOMEについてのFAQ

(2015/10/27改訂)
この記事では、FREEDOMEの使い方が分からないという方に向けて、良くある質問と解決方法をご紹介します。

Q01. FREEDOMEって何ですか?
A01. エフセキュアが販売しているプライバシー保護対策の製品です。iOS/Android/Windows/Mac版が利用可能です。

Q02. FREEDOMEは何処から入手できますか?
A02. iOS版はAppStoreから、Android版はGooglePlayから、Windows版/Mac版はエフセキュアのホームページから入手できます。

Q03. FREEDOMEの利用にお金はかかりますか?
A03. インストールから2週間は無償でご利用頂けます。試用期間終了後はアプリ内メニューのライセンスの項目や、エフセキュアのオンラインショップからライセンスを購入することが出来ます。
試用期間終了後に自動的に課金されることはありませんのでご安心を。

Q04. FREEDOMEを「フィンランド」に設定、「ON」にする方法がわかりません。
A04. 以下の手順に沿って進めてください。

(iOS版/Android版)
1. Freedomeを起動します。

2. 画面下部の仮想ロケーション表示をタップします。
setting1

3. 「その他」をタップします。
setting2

4. 「フィンランド」をタップします。
setting3

5. スクリーン中央にフィンランドの国旗が表示されていることを確認し、左上の「<」をタップします。
setting4

(iOS版のユーザのみ)
5-1. iOS7以前のOSをお使いの場合は次のスクリーンが表示されます。
  「OK」をタップして進めてください。
setting6


6. 中央の「オフ」ボタンをタップ、「オン」にして完了です。
注意: iOS7以前のOSをお使いの方、「セキュリティを有効にする」スクリーンが表示された方は「6-1.」以下へお進みください。
setting5


(iOS版のユーザのみ)
6-1. 「はい」をタップします。
setting7

6-2. 「インストール」をタップします。
 setting8

6-3. 「パスコード入力」が表示された場合は、普段お使いのデバイスのパスコードを入力します
setting9

6-4. 「インストール」をタップします。
setting10

6-5. 「インストール」をタップします。
setting11

6-6.「完了」をタップします。
setting12

7. FreedomeがONになっていることを確認したら完了です!
setting5


(Windows版/Mac版の場合)
1. タスクトレイのアイコンなどから、FREEDOMEの画面を表示します。

2. 画面下部の仮想ロケーション表示をタップします。
virtual_location01

3. 「Espoo, FI」を選択します。
virtual_location02

4. 画面右側の地球儀にフィンランドの国旗が表示されていることを確認し、左上の「← Freedomeに戻る」をタップします。
virtual_location03

5. 仮想ロケーションの位置がEspooになっていることを確認し、中央のボタンがオンになっていれば設定完了です! オフになっている場合は、クリックしてください。
virtual_location04


Q05. マルチデバイスライセンスの適用方法が分かりません。
A05. 以下の手順に沿って進めてください。

(iOS版/Android版)
1. Freedomeを起動します。

2. 画面左上の"Ξ"をタップし、メニューを表示させます。
license_act_mob01

3. メニューからライセンスをタップします。
license_act_mob02

4. 「マルチプラットフォームライセンスを既に購入しておりますか?」をタップします。
license_act_mob03


5. 表示されたポップアップにライセンスキーを入力します。
license_act_mob04


(Windows版/Mac版)
1. タスクトレイのアイコンなどから、FREEDOMEの画面を表示します。

2. 左側のメニューから、「今すぐ購入!」をクリックし、「コードをお持ちですか?」をクリックします。
license_act_desk01

3. 表示されたポップアップにライセンスキーを入力します。
license_act_desk02

TwitterがユーザのIPアドレスを追跡中

 月曜日、私はようやく当社のFreedome VPN for Windowsを試していた。そして、ロンドンの出口ノードを使っていることを忘れていた。

Freedome for Windows, London

 そのままTwitterにログインしようとした。

 以下がその結果だ。

Twitter, Verify your identity

 それから、メールで次のメッセージも受け取った。

5ean5ullivan, Reset your password

 An unusual device or location?(いつもと違うデバイスもしくは場所)だって?
 「いつもと違う」場所からログインを試みているのだと判定するには、比較のためにTwitterは私の以前のIPアドレスの履歴を保持していなければならない。この種のセキュリティ機能は新しいものではなく、Facebookではすでにもう何年も行っている。しかしTwitterでは、これまで目にしたことがなかった(数年前、Twitterはこうした考えに積極的に反対していたように思う)。Facebookとは異なり、自分自身の接続履歴をダウンロードできる場所は確認していない。Facebookでは以前使ったIPアドレスは、アーカイブをダウンロードすれば入手できる。一方、本日ダウンロードしたTwitterのアーカイブには、IPアドレス情報はない。

 そういうわけで、私が今Twitterに感じている疑問はこれだ。私の接続について、どれくらいの期間ログが取られて追跡されているのか?そして、このデータのコピーを、私はいつになったら入手できるのか?

 追記(3月11日)

 観察眼の鋭い、本ブログの読者Tero AlhonenがTwitterのプライバシーポリシーの中から私の疑問の1つに対する回答を見つけた。

Twitter's Privacy Policy, Log Data

 TwitterはIPアドレスなどの情報を受け取る「可能性」があり、「18か月」経過すると「Log Dataを削除するか、もしくは一般にアカウントを特定するものを消去」する。18か月うんぬんという言葉は、2011年6月23日に、バージョン5のポリシーで初めて出てきた。

 したがって次の疑問だけが残る。どうかデータのコピーを頂けないだろうか?

 Post by — ショーン

手の届くところにぶらさがっている果実:Flash Player

 現在、Flash Playerバージョン16.0.0.296が公開されている

Flash Player Versions

 インストール済みのバージョンは、WindowsではFlashの設定マネージャーのアプレットで確認できる。

Settings Manager, Flash Player 16.0.0.296

 Adobe Security Bulletin APSA15-01によると、自動更新を有効にしているユーザの場合、1月24日から更新を受け取ることになる。手動でダウンロードする場合には、数日待つ必要がある。

Adobe Bulletin CVE-2015-0311

 手動でのダウンロードが遅れる理由については定かではないが、理由はどうあれ、自動更新を行うことを推奨する。

 それだけでなく、まだある。現時点では「クリックして再生」オプションを有効にすることを推奨する。以下はFirefoxの例で、「実行時に確認する(Ask to Activate)」に設定されている。

Firefox, Flash, Ask to Activate

 Google Chromeにも「詳細設定を表示(Show advanced settings)」の中にオプションがある。

 なぜ「クリックして再生」を推奨するのかって?Flash Playerは現在のところ、エクスプロイトキ 先週からの統計情報を以下に挙げる。Flash Playerのゼロデイの脆弱性を狙うAnglerがエクスプロイトキット市場を牽引していることが、ここから見て取れる。

 フィンランド:

Exploit Kits, January 2015 FI

 ドイツ:

Exploit Kits, January 2015 DE

 イギリス:

Exploit Kits, January 2015 UK

 そして他の地域でも、Anglerが第1位だ。

 なので、Flash Playerをアップデートし、自動更新するように設定し、「クリックして再生」を有効にするといい。

バックナンバー
セキュリティ関連リンク
セキュリティ機関

政府関連

セキュリティ関連団体

研究機関・大学
詳細カテゴリ
メディア関係者の皆様へ
エフセキュアブログメンバー
エフセキュアブログメンバー
ミッコ・ヒッポネン
エフセキュア CRO(セキュリティ研究所主席研究員)(ヘルシンキ)
(Twitterアカウント)
(研究所Twitter)
ショーン・サリバン
エフセキュア セキュリティ・アドバイザー(ヘルシンキ)
(Twitterアカウント)
高間 剛典
メタ・アソシエイツ代表
(公式ブログ)
(Twitterアカウント)
星澤 裕二
株式会社セキュアブレイン 最高技術責任者
(公式ブログ)
(人物紹介)
岩井 博樹
デロイト トーマツ リスクサービス株式会社 (〜2013年3月 株式会社ラック) 情報セキュリティ大学院大学 客員研究員
(Twitterアカウント)

(人物紹介)
福森 大喜
株式会社サイバーディフェンス研究所 上級分析官
CDI-CIRTメンバー
(人物紹介)
鵜飼 裕司
株式会社FFRI 代表取締役社長
(人物紹介)
福本 佳成
楽天株式会社
執行役員
OWASP Japan
アドバイザリーボード
Rakuten-CERT representative
(人物紹介)
神田 貴雅
エフセキュア株式会社 プロダクトグループ 部長
富安 洋介
エフセキュア株式会社 プロダクトグループ
コーポレートセールスチーム
エフセキュア株式会社
(エフセキュアブログ公式Twitterアカウント)

海外記事翻訳
株式会社イメージズ・アンド・ワーズ
エフセキュアメールマガジン

ブログに載らないメルマガ限定情報や、技術者インタビュー、製品情報、技術解説を掲載して毎月一回配信します。アドレスのみの登録で購読無料。

エフセキュアブログQRコード
QRコード