Doctor Web ニュース

2017年7月18日

株式会社Doctor Web Pacific

Doctor Webのセキュリティリサーチャーによって、Accessibility Service (アクセシビリティサービス) へのアクセス権を要求する多目的なバンキング型トロイの木馬が発見され、Android.BankBot.211.originと名付けられました。このトロイの木馬は、Accessibility Serviceを使用してモバイルデバイスをコントロールし、銀行利用者の機密情報を盗みます。発見当初はトルコのユーザーのみが攻撃の対象とされていましたが、その後範囲は拡大し、現在ではAndroid.BankBot.211.originは数十カ国のユーザーを脅かしています。

Android.BankBot.211.origin は、Adobe Flash Playerなどの無害なプログラムを装って拡散されています。ユーザーによってインストール・起動されると、Accessibility Serviceへのアクセス権を取得しようと試みます。その際、 Android.BankBot.211.origin はアクセス許可を要求するウィンドウを表示させますが、このウィンドウは閉じようとする度に何度も開き、デバイスの使用を妨げます。

Accessibility ServiceはAndroidスマートフォンやタブレットの使用を簡易化するためのもので、障害を持つ人々でも使いやすいようにするなど、様々な方法で使用されます。このサービスによって、プログラムは様々なインターフェースエレメントを自動的にクリックすることができるようになります (ダイアログボックスやシステムメニュー内のボタンなど) 。 Android.BankBot.211.origin はこれらの権限をユーザーに要求し、取得に成功すると自身を自動的にデバイス管理者リストに加えます。次に、自身をデフォルトのメッセージマネージャーとして設定し、画面キャプチャ機能へのアクセスを取得します。これら全てのアクションでシステム要求が表示されますが、トロイの木馬によって直ちに確定されるため、多くの場合ユーザーは見落としてしまいます。後の段階で、ユーザーが Android.BankBot.211.origin の取得したいずれかの機能を無効にしようと試みた場合、トロイの木馬はそれを拒否し、ユーザーをシステムメニューに戻します。

デバイスを感染させた後、トロイの木馬はC&Cサーバーに接続し、そこにモバイルデバイスを登録してコマンドを待ちます。 Android.BankBot.211.origin は以下のアクションを実行することができます：

• コマンドで指定された番号に対し、特定のテキストを含むSMSを送信する
• デバイスメモリ内に保存されているSMSデータをサーバーに送信する
• インストールされているアプリケーション、連絡先リスト、通話データに関する情報をサーバーに送信する
• コマンドで指定されたリンクを開く
• C&Cサーバーのアドレスを変更する

また、このトロイの木馬は送受信するすべてのSMSをトラッキングし、それらをサイバー犯罪者に送信します。

標準的なコマンドに加え、サイバー犯罪者はトロイの木馬に特別な指示を送信することができます。それらには Android.BankBot.211.origin が攻撃するアプリケーションに関する暗号化された情報が含まれています。そのようなコマンドを受け取った Android.BankBot.211.origin は以下の動作を実行することができます：

• 起動されたバンキングプログラムの前面に偽のログイン入力フォームを表示させる
• クレジットカード情報を入力するようユーザーを促すフィッシングダイアログを表示させる (Google Playで何かを購入した場合など)
• アンチウイルスや、トロイの木馬の動作を邪魔するその他のアプリケーションの動作をブロックする

Android.BankBot.211.origin は、あらゆるアプリケーションのユーザーを攻撃することができます。サイバー犯罪者は攻撃対象となるプログラムのリストを設定ファイル内で変更するだけです。 Android.BankBot.211.origin はC&Cサーバーに接続すると直ちにこのリストを受け取ります。 Android.BankBot.211.origin が発見された当初、攻撃の対象とされていたのはトルコの銀行の利用者のみでした。しかしながら、その範囲は後に、ドイツ、オーストラリア、ポーランド、フランス、英国、米国を含む国々へと拡大しています。本記事掲載時点で、このトロイの木馬による攻撃を受けたプログラムには、決済システム、リモート・バンキング・サービス (RBS) 、およびその他のソフトウェアと連動するよう設計された50を超えるアプリケーションが含まれています。

以下は Android.BankBot.211.origin によって表示される偽のウィンドウの例です：

このトロイの木馬は、起動されたすべてのアプリケーションと、それらを使用するユーザーの操作に関する情報も収集します。例えば、メニューエレメントなどの入力可能なテキストフィールドをモニタリングし、ボタンやユーザーインターフェースのその他のコンポーネントのクリックを記録します。

さらに、 Android.BankBot.211.origin はユーザーがあらゆるプログラム内で、またはあらゆるWebサイト上で入力したログイン認証やその他の認証情報を盗む機能を備えています。パスワードを盗むために、 Android.BankBot.211.origin は全てのキーストロークのスクリーンショットを撮り、必要な文字列を取得した後、それらを隠します。表示されたフィールド内に入力された情報と保存されたすべてのスクリーンショットは、C&Cサーバーに送信されます。

Android.BankBot.211.origin はユーザーによる削除を阻むことから、感染してしまった場合は以下の操作を行う必要があります：

• 感染したスマートフォンまたはタブレットをセーフモードで起動する
• システム設定にログインし、デバイス管理者リストを開く
• リスト内でトロイの木馬を探し、該当する権限を無効にする (その際、トロイの木馬は重要なデータがすべて失われる旨の警告を出すことでユーザーを脅しますが、これらはただのトリックで、ファイルは安全です)
• デバイスを再起動させてアンチウイルスによるフルスキャンを実行し、スキャン完了後にトロイの木馬を削除する

Android.BankBot.211.origin のすべての既知のバージョンはDr.Web Anti-virus によって検出されます。したがって、Dr.Webユーザーに危害が及ぶことはありません。

Android.BankBot.211.originの詳細(英語)

2017年7月19日

株式会社Doctor Web Pacific

2017年7月18日

株式会社Doctor Web Pacific

Doctor Webは、一部のDr.Web製品に含まれるDr.Web Updater (11.0.26.07040)、SpIDer Agent for Windows (11.0.16.07121)、Dr.Web Security Space、Anti-virus for Windows setup (11.0.16.07070)、Lua-script for dwprot (11.0.6.07070)、Lua-script for av-service (11.0.6.07070) をアップデートしました。今回のアップデートでは発見されたエラーが修正され、改良が加えられました。

中でも特に、Dr.Web Serverとのやり取りにおける更新モジュールルーチンが最適化されました。

Windows Server 2008 SP2を搭載するコンピューター上での起動時にAgentの異常終了を引き起こすエラーが修正されました。そのほか、Dr.Web Enterprise Security Suite 10.0および10.1では、Agentを管理者モードに切り替えた際に異常終了を引き起こすエラーも修正されています。

ES-Agentがインストールされているシステム上でコンピューターセキュリティ製品のアップデートを妨げてしまう Lua-script for av-service の問題が解決されました。

アップデートは自動的にダウンロード・インストールされます。

2017年7月11日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Security Space 11.0、Dr.Web Anti-virus 11.0、Dr.Web Anti-virus 11.0 for Windows File Servers、Dr.Web Enterprise Security Suite 10.0および10.1、Dr.Web AV-Desk 10.0に含まれるSpIDer Agent for Windows (11.0.15.07070)をアップデートしました。今回のアップデートでは、発見されたエラーが修正されました。

特に、SpIDer Agent for Windowsでは、ファイアウォール設定にてアプリケーションのルールを変更する際に、設定済みアプリケーションルールのリセットを引き起こす問題が解決されました。

アップデートは自動的に行われます。

2017年7月6日

株式会社Doctor Web Pacific

Doctor Webは、一部のDr.Web製品に含まれるDr.Web Updater (11.0.26.06260)、 Dr.Web Control Service (11.0.16.06200と11.0.14.06070)およびSpIDer Agent for Windows (11.0.14.06290)をアップデートしました。今回のアップデートでは、発見されたエラーが修正されました。

上記の全製品を対象に、Dr.Web Updaterでは以下の変更が加えられました。

• 更新サーバーとの連携が最適化されました。

Dr.Web Enterprise Security Suiteに含まれるDr.Web Updaterでは、以下の変更が加えられました。

• ホスト宛に更新がマルチキャスト配信される際に、トラフィックが増加する問題が解決されました。

Dr.Web Security Space、Dr.Web Anti-virus、Dr.Web Anti-virus for Windows File ServersおよびDr.Web Enterprise Security Suiteに含まれるDr.Web Control Serviceでは以下の変更が加えられました。

• Windows Security Center (Action Center)との連携が改善されました。
• 潜在的に危険なファイルを駆除する際に、SpIDer Guardの設定で脅威のタイプ毎に選択されたアクションが無視される問題が解決されました。

Dr.Web Enterprise Security SuiteおよびDr.Web AV-Deskに含まれるDr.Web Control Serviceでは以下の変更が加えられました。

• ControlCenterより「すべてのコンポーネントを更新」コマンドが実行された後、一部のホストにおいて更新を受信できないエラーが修正されました。
• また、Dr.Web Enterprise Security Suite 10.1において、サーバーとの接続が回復した後、スケジューラーで起動されたタスクに関する情報が送信されない問題が解決されました。

Dr.Web Security Space、Dr.Web Anti-virus、Dr.Web Anti-virus for Windows File Servers、Dr.Web Enterprise Security SuiteおよびDr.Web AV-DeskのWindows用Agentでは、以下の変更が加えられました。

• 隔離に移動された複数のオブジェクトを再スキャン後に、クリーンファイルのみの復元が可能になりました。

Dr.Web Enterprise Security SuiteのWindows用Agentでは、以下の変更が加えられました。

• サーバー上のコンソールで言語選択に関する問題が解決されました。

アップデートは自動的に行われます。

2017年7月3日

株式会社Doctor Web Pacific

Doctor Webは、2017年6月におけるモバイルデバイスを狙った脅威についての総括をここに報告します。6月にはAndroidを標的とした複数のトロイの木馬やリスクウェアがGoogle Play上で同時に発見されたほか、SDカード上のファイルを暗号化する危険なランサムウェアが拡散されました。

6月には、イランのモバイルデバイスユーザーを攻撃してサイバー犯罪者から受け取ったコマンドを実行するAndroid向けトロイの木馬が発見され、Google Play上に複数の悪意のあるアプリケーションが登場しました。それらのアプリケーションの1つはルート権限の取得を試み、システムライブラリに侵入し、密かにソフトウェアをインストールする機能を備えていました。その他のアプリケーションは高額な番号に対してSMSメッセージを送信し、ユーザーを有料サービスに登録させるものでした。Google Playからは、使用することで個人情報を流出させる恐れのあるリスクウェアも拡散されていました。また、Android向けの新たな暗号化トロイの木馬も発見されています。

6月のモバイル脅威

6月、イランのモバイルデバイスユーザーに対して攻撃を行う Android.Spy.377.origin が、Doctor Webのセキュリティリサーチャーによって発見されました。この悪意のあるプログラムは機密情報を盗み、それらをサイバー犯罪者に送信します。また、犯罪者から受け取ったコマンドを実行する機能も備えています。

Android.Spy.377.origin は以下の特徴を備えています：

• 無害なアプリケーションを装って拡散されます。
• 連絡先リスト、受信および送信SMSメッセージ、Googleアカウントデータを盗みます。
• デバイスのフロントカメラで写真を撮ります。
• Telegramプロトコルを介してサイバー犯罪者によって管理されます。
• この脅威に関する詳細についてはこちらの記事をご覧ください。

Android.Spy.377.originに関する詳細についてはこちらの記事をご覧ください

Dr.Web for Androidによる統計

Android.HiddenAds.83.origin

Android.HiddenAds.76.origin

Android.HiddenAds.85.origin

モバイルデバイス上に迷惑な広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Android.DownLoader.337.origin

モバイルデバイス上に別の悪意のあるプログラムをダウンロードするトロイの木馬です。

Android.Triada.264.origin

様々な悪意のある動作を実行する、マルチコンポーネントトロイの木馬です。

Adware.Jiubang.1

Adware.SalmonAds.1.origin

Adware.Batmobi.4

Adware.Avazu.8.origin

Adware.Leadbolt.12.origin

Androidアプリケーション内に組み込まれた不審なプログラムモジュールです。モバイルデバイス上に広告を表示させます

GOOGLE PLAY上の脅威

6月、ウクライナでブロックされているソーシャルネットワークサイト「VK」や「Odnoklassniki」へのアクセスを可能にするリスクウェアがGoogle Play上で発見されました。 Program.PWS.1 としてDr.Webウイルスデータベースに追加されたこれらのアプリケーションは、サイトのブロックを回避するために匿名化サーバーを使用し、また、ログインやパスワード、その他のユーザーの個人情報を暗号化していませんでした。この脅威に関する詳細についてはこちらの記事をご覧ください。

6月には、 Android.Dvmap ファミリーに属するトロイの木馬がGoogle Play上で発見されています。これらの悪意のあるプログラムは、起動されるとモバイルデバイスのルート権限を取得しようと試みます。成功すると、システムライブラリを感染させ、追加のコンポーネントをインストールします。これらのトロイの木馬はサイバー犯罪者から受け取ったコマンドを実行するほか、ユーザーの操作なしに別のアプリケーションをダウンロード・起動させることができます。

6月にGoogle Playから拡散されたまた別のトロイの木馬は、 Android.SmsSend.1907.origin および Android.SmsSend.1908.origin としてDr.Webウイルスデータベースに追加されました。サイバー犯罪者はこれらを無害なプログラム内に組み込んでいます。これらの悪意のあるアプリケーションは高額な番号に対してSMSメッセージを送信し、サービスプロバイダのカスタマーを有料サービスに登録します。その後、トロイの木馬は、有料サービスに登録されたことを知らせる通知をユーザーが受け取ることのないよう、受信する全てのメッセージを削除していきます。

ランサムウェア型トロイの木馬

6月には、ランサムウェア Android.Encoder.3.origin が発見されました。このランサムウェアは中国のAndroidユーザーを標的とし、SDカード上のファイルを暗号化します。このエンコーダーの製作者は、2017年5月に世界中で数十万台のコンピューターを感染させた暗号化ランサムウェアWannaCryに着想を得ており、身代金を要求するメッセージに似たようなデザインを使用していました。

サイバー犯罪者は20元の身代金を要求し、その額は3日ごとに倍になります。 Android.Encoder.3.origin がモバイルデバイスを感染させてから1週間以内に身代金が支払われなかった場合、暗号化されたファイルが削除されます。

Android向けの悪意のあるプログラムやリスクウェアは、様々なウェブサイトだけでなくGoogle Playからダウンロードされることでモバイルデバイスを感染させています。未知のアプリケーションをインストールする際は十分に注意し、Dr.Web for Androidを使用することをお勧めします。

2017年7月3日

株式会社Doctor Web Pacific

2017年6月の最も注目すべきイベントは、 Petya、 Petya.A、 ExPetya、または WannaCry-2としても知られる新たな暗号化ワーム Trojan.Encoder.12544 の大量拡散です。世界中で多くの企業や個人のコンピューターが、この悪意のあるプログラムに感染しています。また、6月にはLinux向けの2つの悪意のあるプログラムが登場しました。これらプログラムの1つは感染させたデバイス上に仮想通貨をマイニングするアプリケーションをインストールし、もう1つはプロキシサーバーを起動させます。6月半ばにはまた別のマイニングトロイの木馬が検出されましたが、こちらはWindowsユーザーを狙ったものでした。そのほか、Androidを標的とする複数の悪意のあるプログラムが新たに発見されています。

6月の主な傾向

• 暗号化ワーム Trojan.Encoder.12544 の大規模拡散
• Windows向けマイニングトロイの木馬の拡散
• Linux向けの新たな悪意のあるプログラムを発見

6月の脅威

6月27日、危険な暗号化ワームの拡散を知らせる最初の一報が世界中を駆け抜けました。マスメディアはこのワームをPetya、Petya.A、ExPetya、または WannaCry-2と呼び、一方、Doctor Webのセキュリティリサーチャーは Trojan.Encoder.12544 と名付けました。実際のところ、この悪意のあるプログラムと Petya (Trojan.Ransom.369) との共通点はあまりなく、ファイルテーブルを暗号化する方法のみとなっています。このトロイの木馬はWannaCryによる攻撃の際に使用されていたものと同じ脆弱性を悪用してコンピューターを感染させていました。 Trojan.Encoder.12544 は、感染させたコンピューター上で認証されたローカルユーザーやドメインユーザーのリストを取得します。次に、書き込み可能なネットワークフォルダを探し、受け取ったデータを使用してそれらを開き、リストのコピーをそれらのフォルダ内に保存します。一部の研究者は、Windowsフォルダ内にperfcファイルを作成することで Trojan.Encoder.12544 の起動を防ぐことができると指摘しています。たしかに、ワームは拡張子を除いたトロイの木馬の名前と合致する名前を持ったファイルがシステムフォルダ内にあるかどうかによって2度目の起動をチェックします。しかしながら、トロイの木馬の名前がサイバー犯罪者によって変更されてしまえば、 "C:\Windows\perfc" ファイルを作成することでコンピューターを感染から守ることはできなくなります。さらに、 Trojan.Encoder.12544 がファイルの存在を確認するのは、十分な権限を持っている場合のみとなっています。

Trojan.Encoder.12544 はCドライブのVBR(ボリュームブートレコード)を破損させ、ドライブの最初のセクターにトラッシュデータを詰め込みます。続けて、XORアルゴリズムを使用して暗号化した元のWindowsブートレコードをドライブの別の部分にコピーし、その元のレコードをトロイの木馬のブートレコードで上書きします。その後、コンピューターを再起動させるタスクを作成し、コンピューターの固定ディスク上にあるファイルの暗号化を開始します。コンピューターが再移動された後、Windowsの標準搭載ツールCHDISKのものと類似したテキストが画面上に表示されます。

その間、 Trojan.Encoder.12544 はMFT(マスターファイルテーブル)を暗号化します。暗号化が完了すると、画面には身代金の要求が表示されます。

Doctor Webのセキュリティリサーチャーは、 Trojan.Encoder.12544 は元々身代金を要求するためではなく、感染させたコンピューターを破損させる目的で開発されたものであると考えています。その理由として、第一に、サイバー犯罪者は被害者との連絡用にメールアドレスを1つしか用意しておらず、そのアドレスは拡散が発生して間もなくブロックされました。第二に、感染させたコンピューターの画面上に表示されるキーは、実際の暗号化キーとは何の関係もないランダムな一連の記号です。第三に、サイバー犯罪者に送信されるキーはファイル・アロケーション・テーブルの暗号化に使用されるキーとは何の関係もなく、したがって、犯罪者はディスクを復号化するためのキーを被害者に提供することはできません。この脅威に関する詳細についてはこちらの記事を、ワームに関する技術的な説明(英語)についてはこちらをご確認ください。

Trojan.Encoder.12544 の拡散は、ウクライナで広く利用されている税務会計ソフト「MEDoc」のアップデートシステムを悪用して開始されました。Doctor Webでは、同様の拡散方法を用いる悪意のあるプログラムをこれまでに既に確認しています。2012年、悪意のあるプログラム BackDoor.Dande を用いた、ロシアの薬局や製薬企業に対する攻撃がDoctor Webのセキュリティリサーチャーによって確認されました。このスパイウェア型トロイの木馬は製薬業界で使用されているプログラムから医薬品の受注に関する情報を盗むものでした。 BackDoor.Dande は http://ws.eprica.ru からダウンロードされますが、このサイトは「Spargo Tekhnologii」のもので、医薬品の価格をモニタリングするためのプログラムである ePrica をアップデートするよう設計されていました。この脅威に関する詳細についてはこちらの記事を、技術的な説明(英語)についてはこちらをご確認ください。

Dr.Web Anti-virusによる統計

• Trojan.InstallCore
  望まない悪意のあるアプリケーションをインストールするトロイの木馬ファミリーです。
• Trojan.Kbdmai.16
  アドウェア型トロイの木馬です。その機能の1つとして、ブラウザウィンドウ内に様々なウェブサイトを開きます。
• Trojan.DownLoader
  感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。
• Trojan.Moneyinst.69
  他のトロイの木馬を含む様々なソフトウェアを被害者のコンピューター上にインストールする悪意のあるプログラムです。
• Trojan.Encoder.11432
  被害者のコンピューター上で危険なランサムウェア型トロイの木馬を起動させるネットワークワームです。WannaCryとしても知られています。

Doctor Web統計サーバーによる統計

• JS.DownLoader
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。
• JS.Inject.3
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、ウェブページのHTMLコードに悪意のあるスクリプトを挿入します。
• Trojan.InstallCore
  アドウェアや望まないプログラムをインストールするトロイの木馬ファミリーです。
• Trojan.Kbdmai.37
  アドウェア型トロイの木馬です。その機能の1つとして、ブラウザウィンドウ内に様々なウェブサイトを開きます。
• Trojan.DownLoader
  感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。

メールトラフィック内で検出された脅威の統計

• JS.DownLoader
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。
• W97M.DownLoader
  オフィスアプリケーションの脆弱性を悪用するダウンローダ型トロイの木馬です。感染させたコンピューター上に別の悪意のあるプログラムをダウンロードします。
• Trojan.PWS.Stealer
  感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。

Dr.Web Bot for Telegramによって収集された統計

• Android.Locker.139.origin, Android.Locker.1733
  Android向けのランサムウェア型トロイの木馬です。デバイスをロックし、法律違反に関する警告を表示させます。ロックを解除するために、ユーザーは身代金の支払いを要求されます。
• Win32.HLLP.Neshta
  2005年よりセキュリティリサーチャーに知られているファイルウイルスです。41472バイト以上のEXE PEファイルを感染させます。感染の過程で自身をファイルの先頭に書き込み、元の先頭をファイルの末尾に移動させます。«Neshta 1.0 Made in Belarus»というストリングを含んでいます。
• EICAR Test File
  アンチウイルスの動作をテストするための特殊なテキストファイルです。このファイルを検出したアンチウイルススキャナは、ウイルス検出時と全く同じ形で反応するようになっています。
• Android.Androrat.1.origin
  Androidデバイス向けのスパイウェアプログラムです。

暗号化ランサムウェア

2017年6月には、以下のランサムウェアによる被害を受けたユーザーからDoctor Webテクニカルサポートサービスに対するリクエストがありました：

• Trojan.Encoder.858 — リクエストの28.51%
• Trojan.Encoder.10103 — リクエストの8.10%
• Trojan.Encoder.567 — リクエストの5.54%
• Trojan.Encoder.11432 — リクエストの4.10%
• Trojan.Encoder.10144 — リクエストの2.36%

危険なWEBサイト

2017年6月に非推奨サイトとしてDr.Webデータベースに追加されたアドレスの数は229,381件となっています。

LINUXを標的とするマルウェア

6月には2つのLinux向けトロイの木馬が発見されました。1つ目は小型コンピューターRaspberry Piのみを攻撃する悪意のあるプログラム Linux.MulDrop.14 です。このトロイの木馬は仮想通貨をマイニングするよう設計されたアプリケーションを圧縮・暗号化された形で含むスクリプトです。 Linux.ProxyM としてウイルスデータベースに追加された2つ目のトロイの木馬は2017年2月に登場しましたが、その攻撃は5月下旬以降に活発化しました。以下のグラフはDoctor Webスペシャリストによって確認された Linux.ProxyM による攻撃数です：

攻撃を受けたIPアドレスの多くがロシアのものとなっており、その後に中国、台湾が続いています。以下のグラフは Linux.ProxyM による攻撃元の地理的分布を表しています：

この脅威に関する詳細についてはこちらの記事をご覧ください。

その他の情報セキュリティイベント

仮想通貨の登場後間もなくして、感染させたデバイスのコンピューティングリソースを使用してそれらの通貨をマイニングする悪意のあるプログラムが出現しました。そのようなトロイの木馬のファミリーである Trojan.BtcMine に属する最初のトロイの木馬が2011年にDr.Webウイルスデータベースに追加されています。そして2017年6月、このファミリーに属するまた別の亜種 Trojan.BtcMine.1259 が発見されました。このトロイの木馬は仮想通貨Monero (XMR)をマイニングするよう設計されています。 Trojan.BtcMine.1259 は Trojan.DownLoader24.64313 によってコンピューター上にダウンロードされ、さらに、この Trojan.DownLoader24.64313 はバックドアDoublePulsarによって拡散されます。

悪意のある機能を実行するほか、 Trojan.BtcMine.1259 はオープンソースコードを持ったリモート管理システムの改変されたバージョンであるライブラリGh0st RAT (Dr.Web Anti-virusは BackDoor.Farfli.96 として検出します) を復号化してメモリ内にロードします。このライブラリを使用することで、サイバー犯罪者は感染させたコンピューターをコントロールし、コマンドを実行することが可能になります。 Monero(XMR) をマイニングするモジュールは、感染させたシステムのコンピューターリソースの80%まで使用することができます。 Trojan.BtcMine.1259 には32ビット版と64ビット版の両方のマイナーが含まれています。感染したコンピューター上でいずれのトロイの木馬が実行されるかは、OSのビット数によって決まります。この脅威に関する詳細についてはこちらの記事をご覧ください。

モバイルデバイスを脅かす悪意のある、または望まないプログラム

6月、イランのモバイルデバイスユーザーに対して攻撃を行う Android.Spy.377.origin が、Doctor Webのセキュリティリサーチャーによって発見されました。この悪意のあるプログラムは機密情報を盗んでサイバー犯罪者に送信するほか、犯罪者から受け取ったコマンドを実行する機能も備えています。また、6月には、ウクライナでブロックされているソーシャルネットワークサイト「VK」や「Odnoklassniki」へのアクセスを可能にするリスクウェアがGoogle Play上で発見されました。 Program.PWS.1 としてDr.Webウイルスデータベースに追加されたこれらのアプリケーションは、サイトのブロックを回避するために匿名化サーバーを使用し、そのうえ、ログインやパスワード、その他のユーザーの個人情報を暗号化していませんでした。

6月には Android.SmsSend.1907.origin および Android.SmsSend.1908.origin もまた、Google Playから拡散されています。これらの悪意のあるアプリケーションは高額な番号に対してSMSメッセージを送信し、サービスプロバイダのカスタマーを有料サービスに登録します。そのほか、 Android.Dvmap ファミリーに属するトロイの木馬のシグネチャがウイルスベースに追加されています。これらの悪意のあるプログラムは、ルート権限の取得を試み、システムライブラリを感染させ、追加のコンポーネントをインストールします。さらに、サイバー犯罪者から受け取ったコマンドに従って、ユーザーに気付かれることなく別のアプリケーションをダウンロード・起動させることができます。

6月にはもう1つのAndroid向けトロイの木馬が発見され、 Android.Encoder.3.origin と名付けられました。このトロイの木馬は中国のAndroidユーザーを標的とし、SDカード上のファイルを暗号化して、復元するための身代金を要求します。

中でも特に注目に値するモバイルマルウェアに関するイベントは以下のとおりです：

• イランのユーザーに対するスパイ行為を実行するAndroid向けトロイの木馬の発見
• Google Play上で複数の脅威を発見
• SDカード上のファイルを暗号化し、復元するための身代金を要求する暗号化トロイの木馬の拡散

モバイルデバイスを標的とする悪意のある・望まないプログラムに関する詳細はこちらの記事をご覧ください。

2017年6月30日

株式会社Doctor Web Pacific

2017年6月29日

株式会社Doctor Web Pacific

一部の報告によると、「Petya」、「Petya.A」、「ExPetya」、「WannaCry-2」としても知られる Trojan.Encoder.12544 は、OS内に侵入を果たすために税務会計ソフトMEDocのアップデートを利用しているものとしています。Doctor Webでは、悪意のあるプログラムのこのような拡散方法をこれまでにも既に確認しており、このようなことが将来において繰り返されないようにするための方法について知識を有しています。

Trojan.Encoder.12544 について調査を行ったセキュリティリサーチャーらは、このトロイの木馬の拡散にはウクライナで利用されている税務会計ソフト「MEDoc」のアップデートが悪用されていると報告しています。MEDocのディストリビューションキットに含まれている、主なアプリケーションのアップデートを実行するよう設計された EzVit.exe と呼ばれるツールが、 Trojan.Encoder.12544 の拡散開始時にCMDコマンドを実行していたと指摘しています。このコマンドは悪意のあるライブラリのダウンロードを実行していましたが、このライブラリ内には Trojan.Encoder.12544 の主要な機能が含まれています。この暗号化ランサムウェアはSMBプロトコルの脆弱性を利用してネットワーク経由で自動的に拡散され、Windowsユーザーのアカウントデータを盗むことから、拡散が広まるには1台が感染すれば十分であるといえます。

2012年、悪意のあるプログラム BackDoor.Dande を用いた、ロシアの薬局や製薬企業に対する攻撃がDoctor Webのセキュリティリサーチャーによって確認されました。このスパイウェア型トロイの木馬は製薬業界で使用されているプログラムから医薬品の受注に関する情報を盗むものでした。起動されると、 BackDoor.Dande はシステム内に該当するアプリケーションが存在するかどうかを確認し、存在しなかった場合は自身の動作を停止します。2800を超えるロシアの薬局や製薬企業が感染の被害に遭いました。このとこから、 BackDoor.Dande は産業スパイ目的で使用されたものと考えられます。

Doctor Webのスペシャリストによって4年間にも及ぶ調査が行われました。 BackDoor.Dande による被害を受けた企業から提供されたハードディスクを調査した結果、その他全てのバックドアコンポーネントを実行するドライバの作成日が特定されました。このドライバはWindowページングファイルおよび感染したコンピューター上にインストールされたAvastアンチウイルスのログ内に含まれていました。これらファイルの解析により、悪意のあるドライバは ePrica (D:\ePrica\App\PriceCompareLoader.dll) と呼ばれるアプリケーションの起動直後に作成されているということが明らかになりました。「Spargo Tekhnologii」という企業によって開発されたこのアプリケーションは、薬局経営者が医薬品の価格を分析し、最適なサプライヤーを選択するためのものです。ePricaによってライブラリがシステム内にロードされ、このライブラリが BackDoor.Dande を密かにダウンロード、復号化、起動させます。このトロイの木馬は http://ws.eprica.ru からダウンロードされますが、このサイトは「Spargo Tekhnologii」のもので、 ePrica をアップデートするよう設計されていました。さらに、悪意のあるプログラムを密かにロードするモジュールは有効な電子署名「Spargo」を持っていました。 BackDoor.Dande は盗んだデータをロシア国外にあるサーバーへ送信します。つまり、 Trojan.Encoder.12544 同様、このバックドアはプログラムのアップデートモジュール内に「隠れて」いたのです。

こられの事例の類似性から、ソフトウェア開発のインフラストラクチャには情報セキュリティに対する特別な注意が必要であるということが示されています。何よりもまず、商用ソフトウェアのアップデートプロセスはデベロッパー自身か、またはユーザーにより細心の注意を払って行われる必要があります。様々なプログラムのアップデートツールには、OS内で実行ファイルを実行する権限を持つものがあり、これが予期せぬ感染の原因となることがあります。MEDocの場合、感染はサイバー犯罪者によるハッキングと更新サーバーへの侵入によって引き起こされました。 BackDoor.Dande のケースでは、感染の拡大は内部の人間によって故意に引き起こされたものであると考えられています。この手法を用いることで、サイバー犯罪者はほとんどあらゆるソフトウェアのユーザーに対して効果的な攻撃を行うことができます。

2017年6月28日

株式会社Doctor Web Pacific

新たなランサムウェア Trojan.Encoder.12544 について、Doctor Webのスペシャリストによる調査が行われています。このトロイの木馬は「Petya」、「Petya.A」、「ExPetya」、または一部のメディアでは「WannaCry-2」としても知られています。ここまでの調査結果に基づき、感染を回避するための推奨事項や感染してしまった場合の対処方法、この攻撃に関する技術的詳細について報告いたします。

Trojan.Encoder.12544 は、Windows搭載コンピューターに対して深刻な脅威となっています。多くのメディアでは、このトロイの木馬を「Petya( Trojan.Ransom.369 )」の亜種であるとしていますが、 Trojan.Encoder.12544 とPetyaとの類似点はほんのわずかです。 Trojan.Encoder.12544 は政府機関、銀行、営利組織の情報システムを感染させているほか、いくつかの国でユーザーのコンピューターでも感染が確認されています。

現時点で、このトロイの木馬はWannaCryによる攻撃の際に使用されていたものと同じ脆弱性を悪用してコンピューターを感染させているということが明らかになっています。 Trojan.Encoder.12544 の拡散は6月27日に開始されました。コンピューター上で起動されると、 Trojan.Encoder.12544 は複数の手法を用いてローカルネットワーク上のコンピューターを探し、ポート445番および139番をスキャンします。ポートの開かれたシステムが見つかると、よく知られたSMBプロトコルの脆弱性(MS17-10)を利用してそれらを感染させます。

Trojan.Encoder.12544 は本体内に圧縮されたリソースを4つ含んでいます。それらのうち2つは、開かれたWindows セッションのパスワードを傍受するよう設計されたMimikatzツールの32ビット版と64ビット版です。OSのキャパシティに応じて、 Trojan.Encoder.12544 はMimikatzツールの適切なバージョンを解凍し、一時フォルダに保存して起動させます。 Trojan.Encoder.12544 はMimikatzとその他複数の手法を用いて、感染させたコンピューター上で認証されたローカルユーザーやドメインユーザーのリストを取得します。次に、書き込み可能なネットワークフォルダを探し、受け取ったデータを使用してそれらを開き、リストのコピーをそれらのフォルダ内に保存します。アクセスが可能となったコンピューターを感染させる際、 Trojan.Encoder.12544 はリモート管理ツールPsExecまたは標準的なコンソールツールを使用してWmic.exeオブジェクトを呼び出します。

Trojan.Encoder.12544 は "C:\Windows\" フォルダに保存したファイルを使用して2度目の起動をチェックします。ファイルの名前はトロイの木馬の名前から拡張子を除いたものとなっています。現在拡散されているワームのサンプル名は "perfc.dat" であるため、その起動を防ぐファイルは "C:\Windows\perfc" になります。ただし、トロイの木馬の名前がサイバー犯罪者によって変更された場合、 "C:\Windows\perfc" ファイルを作成すること(多くのアンチウイルスデベロッパーがアドバイスしているように)でコンピューターを感染から守ることはできなくなります。また、 Trojan.Encoder.12544 がファイルの存在を確認するのは、十分な権限を持っている場合のみとなっています。

起動されると、 Trojan.Encoder.12544 は権限を設定し、自身のコピーをメモリ内にロードし、コピーに対してコントロール権を付与します。次に、自身のファイルをトラッシュデータで上書きし、ファイルを削除します。まず初めに、 Trojan.Encoder.12544 はCドライブのVBR(ボリュームブートレコード)を破損させ、ドライブの最初のセクターにトラッシュデータを詰め込みます。続けて、XORアルゴリズムを使用して暗号化した元のWindowsブートレコードをドライブの別の部分にコピーし、その元のレコードをトロイの木馬のブートレコードで上書きします。その後、コンピューターを再起動させるタスクを作成し、次の拡張子を持つすべてのファイルの暗号化を開始します:

.3ds、 .7z、 .accdb、 .ai、 .asp、 .aspx、 .avhd、 .back、 .bak、 .c、 .cfg、 .conf、 .cpp、 .cs、 .ctl、 .dbf、 .disk、 .djvu、 .doc、 .docx、 .dwg、 .eml、 .fdb、 .gz、 .h、 .hdd、 .kdbx、 .mail、 .mdb、 .msg、 .nrg、 .ora、 .ost、 .ova、 .ovf、 .pdf、 .php、 .pmf、 .ppt、 .pptx、 .pst、 .pvi、 .py、 .pyc、 .rar、 .rtf、 .sln、 .sql、 .tar、 .vbox、 .vbs、 .vcb、 .vdi、 .vfd、 .vmc、 .vmdk、 .vmsd、 .vmx、 .vsdx、 .vsv、 .work、 .xls、 .xlsx、 .xvd、 .zip

Trojan.Encoder.12544 は固定ドライブ上のファイルのみを暗号化します。各ドライブ上のデータは別々のスレッドに暗号化されます。ファイルの暗号化にはAES-128-CBCアルゴリズムが用いられ、ドライブごとに個別のキーが生成されます(これまで他のスペシャリストによって言及されていない Trojan.Encoder.12544 の特徴です)。このキーはRSA-2048アルゴリズムを用いて暗号化され(800ビットキーが使用されるとするリサーチャーもいます)、システムドライブのルートフォルダ内にあるREADME.TXTという名前のファイルに保存されます。暗号化されたファイルには、追加の拡張子は付けられません。

作成されたタスクに応じてコンピューターが再移動された後、トロイの木馬のブートレコードに対してコントロール権が付与されます。感染したコンピューターの画面には、Windowsの標準搭載ツールCHDISKのものと類似したテキストが表示されます。

その間、 Trojan.Encoder.12544 はMFT(マスターファイルテーブル)を暗号化します。暗号化が完了すると、画面には身代金の要求が表示されます。

システム起動時にCHDISKのテキストが表示された場合は直ちにコンピューターの電源を切ってください。ブートレコードが破損しますが、Windowsリカバリーツールまたはディストリビューションディスクを使用してコンピューターを起動させる場合は回復コンソールを使用して修復することができます。Windows 7以降のOSでは、重要なデータのバックアップコピーを持った隠された部分がドライブ上に存在する場合、通常はブートレコードを復元することが可能です。また、Dr.Web LiveDiskを使用することもできます。ブートディスクまたはブートUSBを作成し、OSをブートリムーバブルメディアから起動させてください。次に、Dr.Web scannerを起動して感染したドライブをスキャンし、検出された脅威に対して「駆除」アクションを選択します。

一部のリソースによると、サイバー犯罪者が使用するメールアドレスをブロックしたため、攻撃者は被害者とやり取りを行うことができない(ファイルの復号化を提案するなど)ということです。

Trojan.Encoder.12544 による感染を防ぐため、Doctor Webでは、重要な全てのデータのバックアップコピーを個別のリムーバブルメディア上に作成し、Dr.Web Security Spaceのデータ損失防止機能を使用することを推奨しています。また、お使いのOSに対する全てのセキュリティアップデートをインストールすることも推奨されます。Doctor Webでは、スペシャリストによる Trojan.Encoder.12544 の調査を継続してまいります。

Trojan.Encoder.12544に感染してしまった場合の対処方法についてはこちらをご覧ください。