All the news

2017年8月18日

株式会社Doctor Web Pacific

2017年8月17日

株式会社Doctor Web Pacific

Doctor Webでは、誤ったDNS設定が、他の要因と併せてWebサイトを感染させてしまう原因の1つになり得るという点について過去にも報告しています。Doctor Webのアナリストによって行われた研究の結果、この問題はロシアの多くの金融機関や一部の政府機関にとって重大な懸念事項であるということが明らかになりました。

DNS (ドメインネームシステム) はドメインに関する情報の取得を可能にし、インターネットアドレスを提供します。クライアントソフトウェア、中でも特にブラウザは、入力されたURLに基づいてインターネットリソースのIPアドレスを取得するためにDNSを使用します。通常、DNSサーバーはドメイン所有者自身によって管理されます。

インターネットリソースの多くは、メインとなる第2レベルドメインに加えて第3レベルドメイン、第4レベルドメインといった追加のドメインを複数使用しています。例えば、drweb.comドメインは、ユーザーがリンクやファイルを検査したりウイルスに関する説明を確認したりすることのできるWebサイトを含んだドメイン vms.drweb.ru、 Dr.Web CureIt!のWebページ用ドメイン free.drweb.ru、 Dr.Webシステムアップデートページ用ドメイン updates.drweb.com などのサブドメインを使用しています。様々な技術的サービスやサポートサービスは、多くの場合このようなドメインを使用することで実現されています。そのようなサービスとして、Webサイト管理やマネジメントシステム、オンラインバンキングシステム、メールサーバーのWebインターフェース、社員向けのあらゆる社内Webサイトが挙げられます。そのほか、サブドメインは、バージョン管理システム、バグトラッカー、様々な監視サービス、wikiリソース、およびその他のニーズに対応する目的でも使用されます。

Webサイトを攻撃するサイバー犯罪者は、まず初めに対象となるインターネットリソースに関する情報を収集しますが、とりわけ、サイトを管理するWebサーバーの種類とバージョン、コンテンツ管理システムのバージョン、エンジンプログラミング言語、そしてサイトのメインドメインのサブドメイン一覧を含むその他の技術的な情報を特定しようと試みます。このリストを使用することで、サイバー犯罪者は、アカウントデータを取得し、内部の非公式サービスの1つログインすることによって、「バックドア」を経由してインターネットリソースのインフラストラクチャ内に侵入を試みることが可能になります。このような「内部」のWebサイトは、既知の脆弱性を含んだ古いソフトウェアを使用していたり、デバッグ情報を含んでいたり、あるいはオープンな登録が可能であったりする場合があります。これらすべてがサイバー犯罪者の仕事を容易になものにしています。

Webサイトを管理するDNSサーバーが正しく設定されていれば、サイバー犯罪者はリクエストしたドメインゾーン情報を取得することはできません。一方、DNSサーバーの設定が誤っていた場合は、特殊なAXFRリクエストによって、ドメインゾーン内に登録されたサブドメインに関する完全なデータを取得することが可能になります。DNSサーバーの誤った設定それ自体は脆弱性ではありませんが、インターネットリソースを感染させてしまう間接的な原因となり得ます。

Doctor Webでは、ロシアの銀行および政府機関のDNSサーバー設定について調査を実施しました。その結果、調査対象となったロシアの銀行のドメインおよそ1,000個のうち89個が外部AXFRリクエストに対してドメインゾーンを返していることが明らかになり、この情報はロシア銀行の金融セクターコンピューター緊急レスポンスチーム (FinCERT : Financial Sector Computer Emergency Response Team) に提供されました。また、誤った設定は複数の政府機関のWebサイトでも発見されています。サイト管理者の方には、DNSを正しく設定することはインターネットリソースのセキュリティを確保するための重要な要素の1つであるということを今一度心に刻んでいただきますようお願いいたします。

2017年8月17日

株式会社Doctor Web Pacific

Doctor Webは、インターネットサービス Dr.Web AV-Desk 10.0に含まれる Dr.Web AV-Desk Agent for Windows setup (11.0.6.08070)、Dr.Web Enterprise Security Suite 10.0および10.1 に含まれるDr.Web Enterprise Agent for Windows setup (11.0.6.08033) をアップデートしました。今回のアップデートでは、発見されたエラーが修正されました。

その中でも特に、再起動を待機しているコンピュータ上に、silentモードでのDr.Webのインストールが不可能となりました。

アップデートは自動的に行われます。

2017年8月17日

株式会社Doctor Web Pacific

2017年8月2日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Security Space 11.0、Dr.Web Anti-virus、Dr.Web Enterprise Security Suite 10.0 および 10.1、インターネットサービスDr.Web AV-Desk 10.0に含まれる Dr.Web Firewall (11.1.6.07100)、Dr.Web Firewall Driver (11.01.06.07110)およびSpIDer Agent for Windows (11.0.17.07240)をアップデートしました。さらに、Dr.Web Anti-virus 11.0 for Windows File ServersのAgentもアップデートされました。今回のアップデートでは、発見されたエラーが修正され、内部変更が加えられました。

今回のDr.Web Firewall および Dr.Web Firewall Driverのアップデートにより、ネットワークアプリケーションのルールテーブルに同じ内容が重複して登録される問題が解決されたほか、各モジュールの動作の安定性向上が図られました。

アップデートは自動的に行われますが、Dr.Web Firewallがインストールされている場合には、システムの再起動が必要です。

2017年8月2日

株式会社Doctor Web Pacific

インターネット上でのフィッシングメールの拡散は益々増加する傾向にあります。ロシアのドメイン名レジストリである「RU-CENTER」を装って配信されたそのようなメールが、ここ2週間の間に2回確認されています。これらのメールで、サイバー犯罪者はサーバーに特殊なPHPファイルをアプロードするようWebサイトの管理者に提案しています。この操作が、インターネットソースの感染につながります。

詐欺メールの配信には、RU-CENTERに登録されたドメイン管理者の連絡先データベースが使用されているものとみられます。サイバー犯罪者は、ドメイン管理者に対してICANNの規則に変更があったと告げ、特定のコンテンツを含んだPHPファイルをルートディレクトリ内に作成するよう提案します。このファイルを作成することによって、ドメインを使用する権限が確定されると考えられます。メールはRU-CENTERからのものを装い、そのロゴを含んでいます。

ルートディレクトリに保存するよう指示されたファイルには、変数で指定された任意のコードを実行するコマンドが含まれています。このコードは、GETまたはPOSTリクエストとしてサーバー上のスクリプトに送信されます。サイバー犯罪者の要求を実行することで、Webサイトを感染させてしまうことになります。このようなメールを受け取った場合は、無視するようにしてください。メールの差出人が本物のドメイン名レジストリであると考えられる場合は、同社のテクニカルサポートサービスまで問い合わせ、情報を確認することが推奨されます。

2017年8月2日

株式会社Doctor Web Pacific

ZIP爆弾は電子メールで送信するために大昔に発明されましたが、アンチウイルスを中和する手段として人気がありました。

アンチウイルス圧縮解答モジュールでのデータ処理エラーの影響はどういったものでしょうか? 次の例を使用して説明します。

ネストレベルの数は重要な問題の1つです。通常、最大値は3です。10のネスティングレベルはまれですが、技術的には数に制限はありません。原則として、解凍プログラムは再帰的に動作します。別のネストレベルに出会うたびに、現在の環境のデータが保存され、プログラムが再起動します。 保存された情報のサイズは通常、小さな容量になりますが、レベル数が無限に近づくと (この種のアーカイブは手作業で、好ましくはエラーで抽出され、無限に抽出される) 、スタック (一時データを格納するために割り当てられたプログラムのメモリ領域) が満杯になり、プログラムの試行スタック境界外にデータを格納します。これにより、アプリケーションがクラッシュしたり、悪質なコードが実行されたりする可能性があります。

残念なことに、爆弾を使用して、アンチウイルスの動作を混乱させる以上のことをすることができます。 たとえば、このイメージを表示させます。

2017年8月1日

株式会社Doctor Web Pacific

2017年7月31日

株式会社Doctor Web Pacific

enum s20_status_t s20_crypt32(uint8_t *key,
                            uint8_t nonce[static 8], 
                            uint32_t si, 
                            uint8_t *buf, 
                            uint32_t buflen) 

 // Set the second-to-highest 4 bytes of n to the block number 
    s20_rev_littleendian(n+8, si / 64);

2017年8月4日

株式会社Doctor Web Pacific

Doctor Webは2017年7月のウイルスレビューをここに報告します。7月、Doctor Webのスペシャリストは電子文書管理アプリケーション M.E.Doc に含まれたバックドアを検出し、その後、トロイの木馬 Dande の拡散元を突き止めました。また、7月末にはロシア連邦政府ポータルが攻撃を受けていることが明らかになりました。

通常、盛夏の時期に大きなセキュリティイベントが起こることは多くありません。しかしながら、2017年の7月は異例の展開となりました。月の初め、Doctor Webのセキュリティリサーチャーによって、電子文書管理アプリケーションM.E.Docに含まれたバックドアが発見され、続けて製薬企業から医薬品の購入情報を盗む BackDoor.Dande の拡散元が特定されました。月末にはロシア連邦政府ポータル (gosuslugi.ru) が攻撃を受けていることが明らかになりました。そのほか、Androidを標的とした危険な悪意のあるプログラムが複数発見されています。

7月の脅威

M.E.Doc は Intellect Service 社によって開発された、ウクライナで広く使用されている電子文書管理アプリケーションです。Doctor Webのセキュリティリサーチャーは、 M.E.Doc のアップデートモジュールの1つ ZvitPublishedObjects.Server.MeCom に Windows システムレジストリキー "HKCU\SOFTWARE\WC" に対応するレコードが含まれていることを発見しました。

同じレジストリキーが Trojan.Encoder.12703 の動作にも使用されています。Doctor Webのカスタマーのコンピューターから取得したDr.Web Anti-virusのログを解析した結果、感染したシステム上で M.E.Doc のコンポーネントであるアプリケーション "ProgramData\Medoc\Medoc\ezvit.exe" によって Trojan.Encoder.12703 が起動されていました:

さらなる調査により、ライブラリの1つである ZvitPublishedObjects.dll には、以下の機能を実行するバックドアが含まれていることが明らかになりました:

• メールサーバーにアクセスするためのデータを収集する
• 感染したシステム上で任意のコマンドを実行する
• 感染したシステムに任意のファイルをダウンロードする
• あらゆる実行ファイルをダウンロード・保存・起動する
• 任意のファイルをリモートサーバーにアップロードする

また、M.E.Doc のアップデートモジュールは rundll32.exe ツールを使用してパラメータ#1でペイロードを実行することを可能にします。 Trojan.Encoder.12544 は、この方法によって被害者のコンピューター上で起動されていました。この脅威に関する詳細についてはこちらの記事をご覧ください。

統計

Dr.Web Anti-virusによる統計

• Trojan.DownLoader
  感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。
• Trojan.InstallCore
  望まない悪意のあるアプリケーションをインストールするトロイの木馬です。
• Trojan.BtcMine
  感染させたコンピューターのリソースを密かに使用し、Bitcoinなどの暗号通貨を生成するよう設計されたトロイの木馬のファミリーです。

Doctor Web統計サーバーによる統計

• JS.DownLoader
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。
• JS.Inject.3
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、ウェブページのHTMLコードに悪意のあるスクリプトを挿入します。
• Trojan.InstallCore
  望まない悪意のあるアプリケーションをインストールするトロイの木馬ファミリーです。
• Trojan.DownLoader
  感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。
• Trojan.PWS.Stealer
  感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。

メールトラフィック内で検出された脅威の統計

• JS.DownLoader
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。
• JS.Inject.3
  JavaScriptで書かれた悪意のあるスクリプトのファミリーで、ウェブページのHTMLコードに悪意のあるスクリプトを挿入します。
• Trojan.PWS.Stealer
  感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。
• Trojan.Encoder.6218
  ファイルを暗号化し、復元するために身代金を要求する暗号化ランサムウェア型トロイの木馬ファミリーに属する悪意のあるプログラムです。
• Trojan.InstallCore
  悪意のある望まないアプリケーションをインストールするトロイの木馬ファミリーです。

Dr.Web Bot for Telegramによって収集された統計

• Android.Locker.139.origin
  Android向けのランサムウェア型トロイの木馬です。このトロイの木馬のまた別の亜種はデバイスをロックし、法律違反に関する警告を表示させます。ロックを解除するために、ユーザーは身代金の支払いを要求されます。
• EICAR Test File
  アンチウイルスの動作をテストするための特殊なテキストファイルです。このファイルを検出したアンチウイルススキャナは、ウイルス検出時と全く同じ形で反応するようになっています。
• Joke.Locker.1.origin
  Androidデバイスのホーム画面をロックし、Microsoft WindowsのBSOD (Blue Screen of Death : ブルースクリーン) エラーを表示させるジョークプログラムです。
• Android.SmsSend.20784
  有料番号に対してSMSメッセージを送信し、ユーザーを有料サービスや有料コンテンツを配信するサービスに登録するするよう設計された悪意のあるプログラムのファミリーに属するトロイの木馬です。
• Trojan.PWS.Stealer
  感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。

暗号化ランサムウェア

2017年7月には、以下のランサムウェアによる被害を受けたユーザーからDoctor Webテクニカルサポートサービスに対するリクエストがありました:

• Trojan.Encoder.858 — リクエストの34.80%
• Trojan.Encoder.567 — リクエストの8.21%
• Trojan.Encoder.761 — リクエストの3.19%
• Trojan.Encoder.5342 — リクエストの3.04%
• Trojan.Encoder.11423 — リクエストの2.13%
• Trojan.Encoder.11432 — リクエストの1.98%

危険なWEBサイト

2017年7月に非推奨サイトとしてDr.Webデータベースに追加されたアドレスの数は327,295件となっています。

7月の半ば、ロシア連邦政府ポータル (gosuslugi.ru) 内に悪意のある可能性のあるコードが埋め込まれているということが、Doctor Webのスペシャリストによって発見されました。少なくとも15のドメインアドレスが未知の個人によって登録されており、そのうちの少なくとも5つがオランダの企業のものでした。悪意のあるコードが政府ポータル訪問者のブラウザをそれらの1つに密かに接続させます。ユーザーによって要求されたWebサイトのページが動的に生成される際、Webサイトコードに <iframe> コンテナが追加されます。これにより、あらゆる外部データをダウンロードしたり、ユーザーのブラウザからリクエストしたりすることが可能になります。Doctor Webのニュース記事掲載から数時間後に、 gosuslugi.ru のすべての脆弱性がサイトの管理者によって削除されました。

その他の情報セキュリティイベント

2011年、Doctor Webは製薬企業や薬局をスパイする BackDoor.Dande の発見について報告を行いました。その後、攻撃を受けた企業の1つから提供されたハードドライブについて調査を行ったセキュリティリサーチャーによって、 BackDoor.Dande は ePrica と呼ばれるアプリケーションのコンポーネントによって標的となるシステム上にダウンロードされ、起動されているということが明らかになりました。このアプリケーションは薬局経営者が医薬品の価格を分析し、最適なサプライヤーを選択するためのものです。モジュールは 「Spargo Tekhnologii」 のサーバーから BackDoor.Dande のインストーラをダウンロードし、このダウンローダがコンピューター上でバックドアを起動させます。さらに、このモジュールは電子署名 「Spargo」 を持っていました。

その後のさらなる調査の結果、 BackDoor.Dande のコンポーネントは ePrica の古いバージョンのインストーラに直接組み込まれていたということが明らかになりました。トロイの木馬には、バックドアのインストーラのほか、医薬品の購入に関する情報を収集するモジュールが含まれています。これらのモジュールは、製薬企業向けプログラムのデータベースから必要な情報を取得します。また、モジュールの1つは1Cデータベースから医薬品の購入に関する情報をコピーするために使用されます。 ePrica を削除してもバックドアはシステム内に残り、ユーザーの監視を続けるという点に注意する必要があります。この脅威に関する詳細についてはこちらの記事をご覧ください。

モバイルデバイスを脅かす悪意のある、または望まないプログラム

7月の初め、Google Play上で入手可能な人気のゲームBlazBlueに組み込まれた Android.DownLoader.558.origin がDoctor Webのスペシャリストによって発見されました。この悪意のあるプログラムは未検査のアプリケーションコンポーネントをダウンロード・起動してしまう可能性があります。続けて、 Android.BankBot.211.origin と名付けられた危険なトロイの木馬が発見されました。このトロイの木馬は感染させたデバイスをコントロールし、銀行に関する情報のほか、パスワードを含むその他の機密情報を盗みます。7月の末には、サイバー犯罪者によって Android システムライブラリ内に埋め込まれ、モバイルデバイスの複数のモデルのファームウェアに組み込まれた Android.Triada.231 が発見されています。この悪意のあるプログラムは、実行されたすべてのプログラムのプロセス内に侵入し、トロイの木馬のモジュールを密かに起動させます。

中でも特に注目に値するモバイルマルウェアに関するイベントは以下のとおりです:

• Android デバイスの複数のモデルでファームウェアに組み込まれたトロイの木馬を検出
• Google Play上でダウンローダ型トロイの木馬を発見
• 感染させたデバイスをコントロールし、機密情報を盗む危険なバンキング型トロイの木馬の出現

モバイルデバイスを標的とする悪意のある・望まないプログラムに関する詳細はこちらの記事をご覧ください。

2017年8月4日

株式会社Doctor Web Pacific

Doctor Webは、2017年7月におけるモバイルデバイスを狙った脅威についての総括をここに報告します。7月には、感染させたデバイスをコントロールし、個人情報を盗むバンキング型トロイの木馬について、セキュリティリサーチャーによる調査が行われました。また、Google Play上で新たなダウンローダ型トロイの木馬が発見され、7月末にはAndroidデバイスの複数のモデルで、ファームウェア内にプリインストールされたトロイの木馬が検出されました。

7月、Androidスマートフォンの複数のモデルにトロイの木馬がプリインストールされていることが、Doctor Webのセキュリティリサーチャーによって発見されました。サイバー犯罪者によってシステムライブラリ内に埋め込まれたこのトロイの木馬は、アプリケーションプロセス内に侵入し、追加のモジュールを密かにダウンロード・起動することができます。また、ダウンローダ型トロイの木馬の組み込まれたゲームがGoogle Play上で発見されたほか、感染したデバイスのコントロールを掌握して個人情報を盗む危険なバンキング型トロイの木馬についてアナリストによる調査が行われました。

7月のモバイル脅威

7月、Doctor Webのセキュリティリサーチャーによって、Android モバイルデバイスのシステムライブラリ内に埋め込まれた Android.Triada.231 が発見されました。この悪意のあるプログラムはアプリケーションのプロセスに侵入し、追加のモジュールを密かにダウンロード・起動することができます。 Android.Triada.231 はAndroidデバイスの複数のモデルで同時に検出されています。

Android.Triada.231 の特徴:

• ソースコードレベルでシステムライブラリ内に侵入する
• 実行可能なすべてのアプリケーションのプロセスに侵入し、悪意のあるモジュールを埋め込む
• トロイの木馬をデバイスから削除するには、オリジナルのシステムイメージをインストールする必要がある

この脅威に関する詳細についてはこちらの記事をご覧ください。

Dr.Web for Androidによる統計

Android.DownLoader.337.origin

Android.DownLoader.526.origin

別のアプリケーションをダウンロードするよう設計されたトロイの木馬です。

Android.HiddenAds.85.origin

Android.HiddenAds.68.origin

Android.HiddenAds.83.origin

モバイルデバイス上に望まない広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Adware.Avazu.8.origin

Adware.SalmonAds.1.origin

Adware.Jiubang.1

Adware.Batmobi.4

Adware.Cootek.1.origin

Androidアプリケーション内に組み込まれ、モバイルデバイス上に迷惑な広告を表示させる不審なプログラムモジュールです。

GOOGLE PLAY上のトロイの木馬

7月、人気のゲームBlazBlueに組み込まれた Android.DownLoader.558.origin がDoctor Webのスペシャリストによって発見されました。この悪意のあるプログラムはソフトウェアのアップデートを最適化するために設計されたシステムモジュール内に含まれていました。

このトロイの木馬の危険な点は、未検査のアプリケーションコンポーネントをダウンロード・起動してしまう可能性があるというところにあります。この脅威に関する詳細についてはこちらの記事をご覧ください。

バンキング型トロイの木馬

7月には、危険なバンキング型トロイの木馬 Android.BankBot.211.origin が検出されました。このトロイの木馬はAndroid のAccessibility Serviceへのアクセス権を取得しようと試み、感染させたデバイスをコントロールし、パスワードを含むあらゆるデータをキーボード入力から盗むことができます。また、起動されたバンキングプログラムや決済サービスソフトウェア、その他のアプリケーションの前面に機密データを入力させる偽の入力フォームを表示させます。この脅威に関する詳細についてはこちらの記事をご覧ください。

サイバー犯罪者は、依然としてAndroidモバイルデバイスのユーザーに対する攻撃の手を緩めていません。トロイの木馬の機能を継続的に向上させ、あらゆる方法で拡散しようと画策しています。Doctor Webでは、お使いのスマートフォンやタブレットを悪意のあるアプリケーションから保護するために、Dr.Web for Androidをインストールすることを推奨しています。

2017年7月28日

株式会社Doctor Web Pacific

2017年7月24日

株式会社Doctor Web Pacific

薬局や製薬企業を狙ったトロイの木馬 BackDoor.Dande による攻撃について調査を行うDoctor Webのスペシャリストにより、この度、新たな詳細が明らかになりました。このバックドアは標的となる端末上にePricaアプリケーションのコンポーネントとしてダウンロードされるだけでなく、同アプリケーションの古いバージョンのインストーラに組み込まれていました。

BackDoor.Dande による薬局や製薬企業に対する攻撃についてDoctor Webが最初に報告を行ったのは2011年のことでした。このバックドアは電子発注システムのユーザーから医薬品の購入に関する情報を盗んでいました。攻撃対象となったプログラムが製薬業界で使用されていたものであったことから、悪意のあるプログラムによる被害もまた同業界内に限られたものとなりました。以降、Doctor Webのスペシャリストは数年にわたってこのバックドアとその感染手法について調査を続けてきました。

最近の調査結果から、 BackDoor.Dande はePricaと呼ばれるアプリケーションのコンポーネントによって標的となるシステム上にダウンロードされ、起動されていることが明らかになっています。このアプリケーションは薬局経営者が医薬品の価格を分析し、最適なサプライヤーを選択するためのものです。モジュールは「Spargo Tekhnologii」のサーバーから BackDoor.Dande のインストーラをダウンロードし、このダウンローダがコンピューター上でバックドアを起動させます。さらに、このモジュールは電子署名「Spargo」を持っていました。

その後のさらなる調査の結果、 BackDoor.Dande のコンポーネントはePricaの古いバージョンのインストーラに直接組み込まれていたということが明らかになりました。すなわち、ePrica開発元のセキュリティシステムが著しく損なわれているという可能性が示唆されています。ePricaは、プライベートキーによって暗号化された動的リンクライブラリ（DLL）であるプラグインNLBとEMDを持っており、それらには、バックドアのインストーラのほか、医薬品の購入に関する情報を収集するモジュールが含まれています。これらのモジュールは、製薬企業向けプログラムのデータベースから必要な情報を取得します。また、モジュールの1つは1Cデータベースから医薬品の購入に関する情報をコピーするために使用されます。

これらのプラグインを実行させるのがrunmod.exeモジュールです。このモジュールはサーバーから受け取ったコマンドに応じてプラグインを復号化し、メモリ内で起動させます。その後、データベースからの情報をコピーし、それらをリモートサーバーに送信します。アプリケーションのコンポーネントは、ePricaの開発元である「Spargo Tekhnologii」の含まれている企業グループ「Protek」の署名を持っています。

ePricaを削除してもバックドアはシステム内に残り、ユーザーの監視を続けるという点に注意する必要があります。ePricaがアンインストールされたシステム上に未だ BackDoor.Dande が存在している可能性があるのです。

トロイの木馬のモジュールが含まれているePricaバージョン4.0.14.6のインストーラは2013年11月18日にリリースされていますが、バックドアのファイルの一部は2010年のものとなっています。このことから、薬局や製薬企業での購入に関する情報のコピーは、バックドアが初めて発見される少なくとも1年前から行われていた可能性があると考えられます。

BackDoor.Dande を含んだePricaのインストーラに関するさらなる詳細については、Doctor Webのウイルスライブラリ(英語)をご確認ください。

ePricaについての詳細(英語)

2017年7月18日

株式会社Doctor Web Pacific

Doctor Webのセキュリティリサーチャーによって、Accessibility Service (アクセシビリティサービス) へのアクセス権を要求する多目的なバンキング型トロイの木馬が発見され、Android.BankBot.211.originと名付けられました。このトロイの木馬は、Accessibility Serviceを使用してモバイルデバイスをコントロールし、銀行利用者の機密情報を盗みます。発見当初はトルコのユーザーのみが攻撃の対象とされていましたが、その後範囲は拡大し、現在ではAndroid.BankBot.211.originは数十カ国のユーザーを脅かしています。

Android.BankBot.211.origin は、Adobe Flash Playerなどの無害なプログラムを装って拡散されています。ユーザーによってインストール・起動されると、Accessibility Serviceへのアクセス権を取得しようと試みます。その際、 Android.BankBot.211.origin はアクセス許可を要求するウィンドウを表示させますが、このウィンドウは閉じようとする度に何度も開き、デバイスの使用を妨げます。

Accessibility ServiceはAndroidスマートフォンやタブレットの使用を簡易化するためのもので、障害を持つ人々でも使いやすいようにするなど、様々な方法で使用されます。このサービスによって、プログラムは様々なインターフェースエレメントを自動的にクリックすることができるようになります (ダイアログボックスやシステムメニュー内のボタンなど) 。 Android.BankBot.211.origin はこれらの権限をユーザーに要求し、取得に成功すると自身を自動的にデバイス管理者リストに加えます。次に、自身をデフォルトのメッセージマネージャーとして設定し、画面キャプチャ機能へのアクセスを取得します。これら全てのアクションでシステム要求が表示されますが、トロイの木馬によって直ちに確定されるため、多くの場合ユーザーは見落としてしまいます。後の段階で、ユーザーが Android.BankBot.211.origin の取得したいずれかの機能を無効にしようと試みた場合、トロイの木馬はそれを拒否し、ユーザーをシステムメニューに戻します。

デバイスを感染させた後、トロイの木馬はC&Cサーバーに接続し、そこにモバイルデバイスを登録してコマンドを待ちます。 Android.BankBot.211.origin は以下のアクションを実行することができます：

• コマンドで指定された番号に対し、特定のテキストを含むSMSを送信する
• デバイスメモリ内に保存されているSMSデータをサーバーに送信する
• インストールされているアプリケーション、連絡先リスト、通話データに関する情報をサーバーに送信する
• コマンドで指定されたリンクを開く
• C&Cサーバーのアドレスを変更する

また、このトロイの木馬は送受信するすべてのSMSをトラッキングし、それらをサイバー犯罪者に送信します。

標準的なコマンドに加え、サイバー犯罪者はトロイの木馬に特別な指示を送信することができます。それらには Android.BankBot.211.origin が攻撃するアプリケーションに関する暗号化された情報が含まれています。そのようなコマンドを受け取った Android.BankBot.211.origin は以下の動作を実行することができます：

• 起動されたバンキングプログラムの前面に偽のログイン入力フォームを表示させる
• クレジットカード情報を入力するようユーザーを促すフィッシングダイアログを表示させる (Google Playで何かを購入した場合など)
• アンチウイルスや、トロイの木馬の動作を邪魔するその他のアプリケーションの動作をブロックする

Android.BankBot.211.origin は、あらゆるアプリケーションのユーザーを攻撃することができます。サイバー犯罪者は攻撃対象となるプログラムのリストを設定ファイル内で変更するだけです。 Android.BankBot.211.origin はC&Cサーバーに接続すると直ちにこのリストを受け取ります。 Android.BankBot.211.origin が発見された当初、攻撃の対象とされていたのはトルコの銀行の利用者のみでした。しかしながら、その範囲は後に、ドイツ、オーストラリア、ポーランド、フランス、英国、米国を含む国々へと拡大しています。本記事掲載時点で、このトロイの木馬による攻撃を受けたプログラムには、決済システム、リモート・バンキング・サービス (RBS) 、およびその他のソフトウェアと連動するよう設計された50を超えるアプリケーションが含まれています。

以下は Android.BankBot.211.origin によって表示される偽のウィンドウの例です：

このトロイの木馬は、起動されたすべてのアプリケーションと、それらを使用するユーザーの操作に関する情報も収集します。例えば、メニューエレメントなどの入力可能なテキストフィールドをモニタリングし、ボタンやユーザーインターフェースのその他のコンポーネントのクリックを記録します。

さらに、 Android.BankBot.211.origin はユーザーがあらゆるプログラム内で、またはあらゆるWebサイト上で入力したログイン認証やその他の認証情報を盗む機能を備えています。パスワードを盗むために、 Android.BankBot.211.origin は全てのキーストロークのスクリーンショットを撮り、必要な文字列を取得した後、それらを隠します。表示されたフィールド内に入力された情報と保存されたすべてのスクリーンショットは、C&Cサーバーに送信されます。

Android.BankBot.211.origin はユーザーによる削除を阻むことから、感染してしまった場合は以下の操作を行う必要があります：

• 感染したスマートフォンまたはタブレットをセーフモードで起動する
• システム設定にログインし、デバイス管理者リストを開く
• リスト内でトロイの木馬を探し、該当する権限を無効にする (その際、トロイの木馬は重要なデータがすべて失われる旨の警告を出すことでユーザーを脅しますが、これらはただのトリックで、ファイルは安全です)
• デバイスを再起動させてアンチウイルスによるフルスキャンを実行し、スキャン完了後にトロイの木馬を削除する

Android.BankBot.211.origin のすべての既知のバージョンはDr.Web Anti-virus によって検出されます。したがって、Dr.Webユーザーに危害が及ぶことはありません。

Android.BankBot.211.originの詳細(英語)

2017年7月19日

株式会社Doctor Web Pacific

2017年7月18日

株式会社Doctor Web Pacific

Doctor Webは、一部のDr.Web製品に含まれるDr.Web Updater (11.0.26.07040)、SpIDer Agent for Windows (11.0.16.07121)、Dr.Web Security Space、Anti-virus for Windows setup (11.0.16.07070)、Lua-script for dwprot (11.0.6.07070)、Lua-script for av-service (11.0.6.07070) をアップデートしました。今回のアップデートでは発見されたエラーが修正され、改良が加えられました。

中でも特に、Dr.Web Serverとのやり取りにおける更新モジュールルーチンが最適化されました。

Windows Server 2008 SP2を搭載するコンピューター上での起動時にAgentの異常終了を引き起こすエラーが修正されました。そのほか、Dr.Web Enterprise Security Suite 10.0および10.1では、Agentを管理者モードに切り替えた際に異常終了を引き起こすエラーも修正されています。

ES-Agentがインストールされているシステム上でコンピューターセキュリティ製品のアップデートを妨げてしまう Lua-script for av-service の問題が解決されました。

アップデートは自動的にダウンロード・インストールされます。