2011年03月15日掲載

株式会社Doctor Web Pacific

前月からの主流な傾向が2月にも引き続き見られ、Windowsブロッカー、偽のアンチウイルスを使ったバンキングパスワードの窃盗が大半を占めました。

Windowsブロッカー

Windowsのアクセスをブロックし、脅迫するトロイの木馬は長期に渡って使われています。 ウイルス作成者はこのウイルスを進化させていく過程で、送金オプションや、マスターブートレコードからのWindowsのロードをブロックするという予想だにしなかった手法をも含むソリューションテクノロジーを試みました。

2011年2月に、異なるブロックスクリーンのデザインを備えたTrojan.Winlockがいくつか発見されました。新しい見た目に加え、このブロッカーには分析をより困難にする新たな手法が取り入れられ、exeファイルを装うためのより複雑な暗号が使われています。それらの中でTrojan.Winlockの作成者に人気のある暗号は、exeファイル内に特定のアイコンを加えるので、簡単に見分けることが出来ます。

この手法は非常に簡単で効果的なので、ブロッカーは減少するどころか、近い将来には更に高度なバリエーションを持ったランサムウエアが発見されることでしょう。

エンコーダー

2月に注目を浴びた他のランサムウエアはエンコーダーです。Trojan.Encoderの作成者は暗号化アルゴリズムを何度か変えましたが、発見されたトロイの木馬の亜種の数は変わりませんでした。ユーザーがTrojan.Encoderに感染したファイルへ再びアクセス出来るよう、Doctor Webは解読ユーティリティーを開発・メンテナンスしています。

バンキングアカウントの窃盗

2011年悪意のある「トップ10」には、Zeusとしても知られる悪名高いTrojan.PWS.Pandaのような、アカウントからお金を盗むプログラムが入りました。このトロイの木馬は、ロシア、イタリア、アメリカ、ドイツのシステムを含むオンラインバンキングシステムのアドレスのリストを利用しています。

• libertyreserve.com
• perfectmoney.com
• laiki.com
• bankofcyprus.com
• commbank.com.au
• suncorpbank.com.au
• stgeorge.com.au
• online.westpac.com.au
• anz.com
• sparkasse.de
• commerzbanking.de
• finanzportal.fiducia.de
• deutsche-bank.de
• targobank.de
• postbank.de
• csebo.it
• poste.it
• gruppocarige.it
• cedacri.it
• payment.ru
• ibank.alfabank.ru
• chase.com
• capitalone.com

このタイプのトロイの木馬のいくつかはDr.WebによりTrojan.DownLoader2として検出されました。それらの追加的なペイロードには、偽のアンチウイルスのダウンロード（Trojan.FakeAlert）やバックドアが含まれています。

モバイルプラットフォーム

1月に比べ、2月にはAndroidへのトロイの木馬の数が著しく増加しました。Android.SmsSend はJavaで書かれ、その唯―の機能はユーザーがお金を払ったショートメッセージを6008のような短いコードで送ることです。

1月には1つしか検出されなかったこのトロイの木馬は、2月には6つに増えました。このことは、このプラットフォームを狙ったさらに危険で複雑なトロイの木馬が現れるのも時間の問題だということを示しています。

その他の脅威

その他の注目すべき驚異は、Win32.Virutの亜種、以前からメールトラフィック内で多数発見されているメールワームのバリエーションWin32.HLLM.NetSky、及びWin32.HLLM.MyDoomです。

Trojan.WinSpyボットネットの開発者は2月にボットソフトウェアのコンポーネントを2回アップデートしました。主な変更箇所はsfcfiles.dllファイルの暗号化ルーチンに関するものでした。

ウイルス分析家はまた、取り外し可能な記憶装置に広がるワームの活動の減少を認めました(Win32.HLLW.Autorunner)。

2月にメールトラフィック内で検出されたウイルス

2月にユーザーのコンピューター上で検出されたウイルス