Doctor Web ニュース
23.06 セキュリティ強化するならユーザー権限の見直しが鍵?
2017年6月23日
株式会社Doctor Web Pacific
研究者Matt GraeberとMatt Nelsonは、Windowsのユーザーアカウント制御機能をバイパスする新しい方法を発見しました。これは、不正な変更がシステムに行われないようにするために開発されました。
研究者は、Windows 10スケジューラでいくつかのデフォルトタスクを分析した際、プロセスの1つ(SilentCleanup)で、特権を持たないユーザーによって起動される可能性があるが、それは高い権限を持つことで実行されることを確認しました。専門家の説明によると、SilentCleanupファイルは、ディスククリーンアップユーティリティまたはCleanmgr.exeに関連付けられています。cleanmgr.exeを実行すると、プロセス権限は自動的にタスク設定で定義、関連付けられている最大レベルまで増加します。
ユーティリティを実行すると、ディスククリーンアップによって、 C:\Users\AppData\Local\TempにGUIDという新しいフォルダが作成されます。ここには、いくつかの.dllファイルとdismhost.exeがコピーされます。dismhost.exeを起動したら、 C:\Users\AppData\Local\Temp\<guid>から特定の順序で.dllファイルのアンロードを開始します。現在のユーザーは%TEMP%ディレクトリへの書き込みアクセス権を持っているため、dismhost.exeプロセスで使用されている.dllを偽装することは可能です。
研究者は資料をMicrosoftに提供し、また、UACのメカニズムはセキュリティ機能に属していないため、この問題は脆弱ではないと指摘しました。
https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
このニュースでわかることは以下の点です。
- ユーザーが権限を下げて作業しているにもかかわらず、いくつかのユーティリティでは、より高度な権限を使用している。
- 管理者の特権とは異なるユーザー特権での作業は、感染のリスクを大幅に低減するものの、救済策ではない。
- 許可されたプログラムのホワイトリストの使用は救済策にはならず、攻撃はライブラリを置き換えることによって実行される。
- 実行中のアプリケーションの完全制御は万能薬ではない。コードは実行中のプロセスに注入されず、プロセスはすぐに悪意のある機能で起動する。
22.06 「WannaCry」を始めとしたランサムウェアの成り立ちと対策
2017年6月22日
株式会社Doctor Web Pacific
意外な広がりを見せる「WannaCry」：
-
通常のランサムウェアプログラムとは異なり、「WannaCry」はスパムメールによって広がるため、迷惑メールを送った量に比例して感染が拡大していきます。 他のプログラムとは対照的に、「WannaCry」はねずみ講に似ています。感染したすべてのマシンは、ローカルネットワークとインターネットの両方で他のホストに感染しようとします。今回の件は、2000年代初めに大流行した「メリッサ」の感染拡大状況に非常によく似ています。「メリッサ」は、わずか数時間で数百万のPCを感染させ、その感染率は世界中のコンピュータの20％にまで上りました。では、現在のインターネットは、当時に比べ安全に使用されるようになったのでしょうか?
PCの18％以上が海賊版Windowsを搭載しており、また、23％のコンピュータはWindows Updateを無効にしている。
では「WannaCry」はどうでしょうか。推計、20万台から40万台のコンピュータが感染しているとされています。
MalwareHunterによると、5月19日、ウクライナでの「XData」による被害は、「WannaCry」が1週間で感染させたマシンの4倍に上ったと発表。
Dr.Webメディア内、XData（Trojan.Encoder.11526）についてもお読みください。
-
中小企業への影響より、大企業と個人への影響大きかった。
Dr.Webのパートナーによる、中小企業の顧客に影響があったかに関する質問への回答方法（企業名は非公開）
M..:not yet А..:no А..:no В..:no В..:no one was affected, but everyone is scared :)マルウェアが高度な技術を使用して標的コンピュータに感染するという事実を考えると、それは奇妙なことではありませんか? 一方、世間からの注目は大きかったのです。
何故、この特定の暗号化ランサムウェアがメディアで広く議論されたと思いますか? 陰謀論?
ウェブセミナー中のDr. Webのパートナーへの質問
- 他のファイルを危殆化するために使用されるキーと、復旧が可能であることをユーザーに示すために使用される暗号化キーは異なるため、復号化は保証されていません。
- ランサムウェア感染で請求される身代金（ビットコインでは300米ドルから）はかなり手頃な金額でしたが、被害を受けたほとんどの企業は、評判を損なわないために支払いませんでした。
結局、「WannaCry」は、多くの報道と少数の感染、犯罪者に多少の収入を生み出しましたが、誰が最も利益を上げたのかは不明なままです。
しかし、被害がこれだけの最小限にとどまったのは、ビジネスにつなげたい人々が以下のように観察したからでした。
- 世界のコンピュータの少なくとも4分の1を攻撃する方法があること。
- ターゲットマシンに侵入するには、ユーザーがリンクをクリックすることに頼る必要はなく、トロイの木馬を使用すれば自動的に管理者権限を取得できること。
また、「WannaCry」は、複雑で悪質なプログラムではなく、その欠点が世界中のメディア機関によって議論されています。
- 再暗号化は使用しない。
- ウイルス対策ソフトで検出できる。
- コマンドとコントロール（C＆C）サーバーと通信するのに脆弱な手順を使用する。
次に起こることを予測するために占い師になる必要はありません。
1：
セキュリティ研究者であるMiroslav Stamparは、NSAから漏えいしたとみられる7つのハッキングツール、「EternalBlue」、「EternalChampion」、「EternalRomance」、「EternalSynergy」、「Doublepulsar」、「Architouch」、「SMBtouch」を同時に使用するマルウェア「EternalRocks」を発見しました。
セキュリティ研究者を欺くために、「EternalRocks」は「WannaCry」と見せかけています。ただし、後者とは異なり、ターゲットマシンにはランサムソフトウェアをダウンロードせず、さらなる攻撃の標的となるシステムの準備に使用されています。
「EternalRocks」は匿名通信システムTorを介してC＆Cサーバーと通信します。ワームから最初のクエリを受信した後、サーバーは24時間後に shadowbrokers.zip というファイルを送信します。ワームは、ファイルの内容を抽出すると、インターネット上のホストをスキャンして、ポート445が開いているシステムを検出します。「WannaCry」とは異なり、ドメイン名の形式でキルスイッチはありません。「EternalRocks」は、感染したシステムの管理者特権を取得し、後々脆弱性パッチがマシンに適用されても、ワームは引き続き動作します。
Dr.WebによってTrojan.EternalRocks.1として検出されたマルウェアは、より洗練されたコード（7つのハッキングツール）を享受していることは明らかです。
2：
「WannaCry」が活用している「EternalBlue」の攻撃ベクトルは、ハッカーに仮想通貨を送金する「Adylkuzz」を広めるためにも使われました。
3：（最も高度なオプション）
「UIWIX」は新しいマルウェアです。「WannaCry」と同様に、このマルウェアはMS17-010のセキュリティ情報に基づいて修正されたSMBの脆弱性を悪用しています。Shadow Brokersによって、一般市民が利用できるようになるまで、この脆弱性（EternalBlue）の悪用は、おそらくNSAの自由でした。
「UIWIX」と「WannaCry」には同じ脆弱性を利用する以外に、共通点はありません。「WannaCry」と違って、「UIWIX」はファイルとして存在しません。 悪用コードが適用された後、残りの悪意のあるコードはメモリ内でのみ実行されます。攻撃の過程で、コンポーネントファイルがハードドライブに書き込まれることはなく、悪質なプログラムの検出を複雑にします。「UIWIX」は「WannaCry」よりも潜んで活動をします。マルウェアが仮想マシンやあらゆる種類のサンドボックスで動作していることが判明した場合、マルウェアはそれを破壊します。また、ランサムウェアが、ロサンゼルス、カザフスタン、ベラルーシのコンピュータ上で終了すると、自己破壊メカニズムが起動されます。
「WannaCry」とは異なり、「UIWIX」は再起動後もシステムに残らず、コードにはドメイン名の強制終了スイッチが含まれていません。「UIWIX」の作者は、身代金として、300ドルから600ドルではなく、より少ない200ドルを要求しています。
「UIWIX」のコードを分析すると、ブラウザー、電子メール、インスタントメッセンジャー、FTPサーバーの承認データを収集できることが明らかになりました。
http://www.securitylab.ru/news/486177.php
http://www.securitylab.ru/blog/personal/aodugin/341866.php
Dr.Webは、このランサムウェアプログラムをTrojan.Encoder.11536として検出します。 アンチウィルスによる検出を回避し、仮想マシンとサンドボックスを検出します。
脆弱性の悪用が感染の一般的な手段になるかどうかは時が教えてくれます。
#encryption_ransomware #ransomware #Trojan.Encoder #cybercrime #cyber-crime #virus-maker #security_update #vulnerability #extortion
20.06 ウェブホスティング企業に対する大規模な攻撃―安全ではないクラウド
2017年6月20日
株式会社Doctor Web Pacific
6月10日、韓国のホスティングサービス企業「NAYANA」が暗号化ランサムウェアErebus(トレンドマイクロ社によって発見され RANSOM_ELFEREBUS.A と名付けられる)(Dr.Webでは Linux.Encoder.10 および Linux. Encoder.11 と分類)による攻撃を受けました。その結果、同社が管理する153台のLinuxサーバーが感染し、ホストしていた3,400以上の企業のWebサイトへの影響が確認されています。
6月12日に同社のサイトに掲載された告知によると、感染したすべてのサーバーのファイルを復号化するために、攻撃者は550ビットコイン(BTC)(165万米ドル)という前例を見ないほど高額な身代金を要求したということです。
6月14日、NAYANAは397.6 BTC(約101万米ドル)を分割して支払うことに同意したことを発表しました。
セキュリティスペシャリストは、今回の事例はソフトウェア更新の未実行や設定上の欠陥などを利用した通常のランサムウェア攻撃であると見ていますが、要求された身代金は史上最高額であり、最も成功したLinuxへの攻撃であると言えます。
誰の責任か？
- 同ホスティングサービス企業は顧客に対してバックアップの作成を提供しておらず、既存のインフラストラクチャーに障害があった場合に切り替えるためのシステムを構築していませんでした。
- 同社の顧客はホスティングインフラストラクチャーに頼り切っていたため、データのバックアップを作成していませんでした。
クラウドサービスプロバイダーに対する成功した攻撃例は以前にも確認されていますが、これほど注目を集めた事例はありませんでした。
Doctor Webでは、同様の事例が今後急激に増加するものと見ています。
このような成功例に刺激を受け、模倣犯罪が多数発生する可能性があるというのがその理由です。プロバイダーに対する攻撃の波は後に減少していく可能性もあり、また逆に、Linuxに対する攻撃のように、このような攻撃が新たなトレンドになっていく可能性もあります。予測を立てるのは時期尚早であると言えるでしょう。
Doctor Webによる推奨事項
- データをクラウド上に保存し、バックアップを作成していない場合は、直ちに作成するようにしてください。さらに、作成したバックアップを別のプロバイダーのサーバー、または自宅や異なるロケーションに保存してください。
- クラウドベースのサーバーやサイト、サービスを借りている場合、それはご自身でデータを保護しなくてもよいということではありません。セキュリティは重要な問題です。バックアップを作成する必要があるほか、コンピューターとクラウドの両方に最低限アンチウイルスが必要です。
Dr.Web Server Security Suite (マルウェアからサーバーを保護します)と Dr.Web Gateway Security Suite (受信するトラフィックをスキャンし、疑わしいサイトへのアクセスをブロックします)はサービスプロバイダーのインフラストラクチャーに対する保護を提供します。
Dr.Web Enterprise Security Suite は、企業の規模に関係なく、その企業のすべての顧客に対する保護を提供します。アンチウイルス保護はプロバイダー側だけでなく、顧客側(企業ネットワークおよび従業員のコンピューター)にも必要であるという点に留意してください。これが、中間者攻撃に対する唯一の防御手段です。
15.06 Doctor Web、仮想通貨をマイニングするトロイの木馬について警告
2017年6月15日
株式会社Doctor Web Pacific
Trojan.BtcMine.1259 と名付けられたこの悪意のあるプログラムは、仮想通貨Monero (XMR)をマイニングするよう設計されていました。このマイナーは Trojan.DownLoader24.64313 によってコンピューター上にダウンロードされ、さらに、この Trojan.DownLoader24.64313 はバックドアDoublePulsarによって拡散されます。
起動されると、 Trojan.BtcMine.1259 は感染させたコンピューター上で自身のコピーが動作していないかどうかを確認します。次に、プロセッサのコア数を確認し、その数がトロイの木馬の設定ファイル内で指定されたスレッド数よりも多いか、または同じであった場合は、自身の本体内に保存されたライブラリを復号化してメモリ上にロードします。このライブラリは、Gh0st RATとして知られる、オープンソースコードを持ったリモート管理システムの改変されたバージョンです(Dr.Web Anti-virusによって BackDoor.Farfli.96 として検出されます)。続けて Trojan.BtcMine.1259 は自身のコピーをディスク上に保存し、それをシステムサービスとして起動させます。正常に起動されると、設定ファイル内で指定されたアドレスのC&Cサーバーからアップデートをダウンロードしようと試みます。
仮想通貨Moneroをマイニングするよう設計されたメインのモジュールもまた、ライブラリとして実装されており、 Trojan.BtcMine.1259 には32ビット版と64ビット版の両方のマイナーが含まれています。感染したコンピューター上でいずれのトロイの木馬が実行されるかは、OSのビット数によって決まります。このモジュールの設定ファイルでは、仮想通貨のマイニングに使用されるプロセッサのコア数とコンピューティングリソース量、マイナーが自動的に実行される間隔、およびその他のパラメータが指定されています。 Trojan.BtcMine.1259 は感染したコンピューター上で実行中のプロセスをトラッキングし、タスクマネージャーの起動が試みられると、自身の動作を終了させます。
マイニングトロイの木馬が初めて登場したのは6年以上も前のことになりますが(2011年にTrojan.BtcMine.1のシグネチャがDr.Webウイルスデータベースに追加されています)、サイバー犯罪者は依然として、ユーザーの許可なしにコンピューターリソースを使用する悪意のあるプログラムの拡散を続けています。コンピューターがこのようなプログラムに感染していることを示す兆候には、システムの処理速度低下やCPUの過熱が挙げられます。Dr.Web Anti-virusは Trojan.BtcMine.1259 とその全てのコンポーネントを削除することができます。そのため、Dr.Webユーザーに危害が及ぶことはありません。
2017年6月13日
株式会社Doctor Web Pacific
中でも特に、Lua-UpdaterとDr.Web更新サーバーとの通信ルーチンが最適化されました。
また、ローカルユーザープロファイルでWindowsにログインすることができなくなるというAnti-rootkit APIの問題が修正され、一時プロファイルでログインする必要がなくなりました。
アップデートは自動的に行われますが、Dr.Web KATANAではシステムの再起動が必要です。
13.06 Dr.Web for IBM Lotus Domino 11.0.2をアップデート
2017年6月13日
株式会社Doctor Web Pacific
今回のアップデートでは、Windows Server 2016がサポートされました。
また、集中管理サーバーへ統計情報が転送される際に発生するエラーが修正されました。さらに、SMTPタスクのフリーズを引き起こす問題が解決され、NSFベースへのアクセスがリクエストされた際にメール検査時に発生するエラーも修正されました。
アップデートされたDr.Web for IBM Lotus Dominoのバージョンをインストールするために、旧バージョンをアンインストールする必要があります。既存の設定を保存するには、エクスポート/インポート機能をご利用ください。
09.06 Dr.Web 11.0 for UNIX Mail ServersおよびDr.Web 11.0.3 for Linuxの ベータテストを開始
2017年6月9日
株式会社Doctor Web Pacific
Dr.Web for UNIX Mail Serversでは、以下の変更が行なわれました。
- 同製品のアーキテクチャーが一新されました。今回のアップデートでは、メールサーバーの標準サービス(Milter、 Spamd、 Rspamd)を使用することにより、使用中のメールサーバーのインフラとの連携が可能となり、サーバーとの統合が不要となりました。
- 標準的なメールプロトコル(SMTP、POP3およびIMAP)を用いる転送経路上で、メールサーバーとクライアントに対し透過的になるように、本製品を構成するオプションが追加されました(GNU/Linuxのみ対応)。
- 望ましくない受信メールの内容は隔離への移動ではなく、パスワードで保護されたアーカイブに保存されます。
- 独自の管理用ウェブインタフェースが搭載されたことにより、Webminの利用が不要になりました。
- OpenLDAPおよびActive Directoryサービスからの情報を、メールフィルタリングルールに用いることが可能になりました。
- 製品に関する統計情報および重要なイベント(例えば、メールのブロック)に関する通知をSNMP経由で送信する機能が追加されました。
- Milter/Spamd/Rspamdを利用できないメールサーバーにおいて、Clamdを用いてメールを検査することが可能になりました。
- DNSxLを利用したメール送受信者のアドレス検査の実行が可能になりました。
Dr.Web Anti-virus for Linuxでは、以下の変更が行なわれました。
- IMAP(S)/POP3(S)プロトコルを使用する受信メールのスキャン機能が追加されました。
- SMTP(S)プロトコルを使用する送信メールのスキャン機能が追加されました。
Dr.Web 11.0 for UNIX Mail serversおよびDr.Web Anti-virus 11.0.3 for Linuxの新しい機能にご興味のある方は、是非、ベータテストにご参加ください。
05.06 Doctor Web、2つのLinux向けトロイの木馬について調査
2017年6月5日
株式会社Doctor Web Pacific
Linux.MulDrop.14 という名前でDr.Webのウイルスデータベースに追加された最初の1つは小型コンピューターRaspberry Piのみを攻撃する悪意のあるプログラムで、5月の後半から拡散されています。このトロイの木馬は仮想通貨をマイニングするよう設計されたアプリケーションを圧縮・暗号化された形で含むスクリプトです。 Linux.MulDrop.14 は感染させたデバイス上でパスワードを変更し、マイナーを解凍して起動させます。続けて、開かれた22番ポートを持つネットワークノードを無限ループで検索し、SSHプロトコル経由で接続を確立した後、それらのコンピューター上で自身のコピーを起動させます。
Linux.ProxyM と名付けられたもう1つのトロイの木馬は2017年2月に登場しましたが、その攻撃は5月下旬以降に活発化しました。以下のグラフはDoctor Webスペシャリストによって確認された Linux.ProxyM による攻撃数です：
攻撃を受けたIPアドレスの多くがロシアのものとなっており、その後に中国、台湾が続いています。以下のグラフは Linux.ProxyM による攻撃元の地理的分布を表しています：
このトロイの木馬は、ハニーポット(悪意のあるプログラムについて解析するために情報セキュリティスペシャリストによって用いられるおとりのサーバー)を見分ける特殊な手法を用います。起動されると、 Linux.ProxyM はC&Cサーバーに接続し、そこから承認を受け取った後、感染したデバイス上でSOCKSプロキシサーバーを起動させます。サイバー犯罪者はオンライン活動を匿名化する目的でこのトロイの木馬を使用することができます。
上記トロイの木馬はいずれもLinux向けDr.Web製品によって検出・削除されます。そのため、Dr.Webユーザーに危害が及ぶことはありません。
- Linux.MulDrop.14の技術的説明(英語)
- Linux.ProxyMの技術的説明(英語)
02.06 Dr.Web for Windowsに含まれるDr.Web SelfPROtectモジュールをアップデート
2017年6月2日
株式会社Doctor Web Pacific
システムのクリティカルなエラー(BSOD)を引き起こす問題が解決されました。
アップデートは自動的に行われますが、システムの再起動が必要です。
01.06 Dr.Web Enterprise Security Suite 10.1をアップデート
2017年6月1日
株式会社Doctor Web Pacific
Dr.Web Enterprise Security Suite 10.1に含まれるServerでは、以下の変更が行なわれました。
- ライセンスキーファイルの自動更新が可能となりました。
- Dr.Web Security Control Centerでは、予防的保護機能とAgentの設定箇所を分けました。
- アンチウイルスネットワークのツリー内に表示されるAgentのソートが可能になりました。
- アンチウイルスネットワークのツリー内の一部の情報をエクスポート可能になりました。
- 多数のAgentに更新を配信する際に、サーバーのパフォーマンスが低下する問題が解決されました。
- 新しいホストがDr.Webサーバーへの接続を承認されないエラーが修正されました。
- Dr.Web Security Control Center内の"レポジトリコンテンツ"および"隔離"セクションにて、大きなファイルの入出力時にエラーが発生する問題が解決されました。
- アンチウイルスネットワーク内のステーション数をカウントするリクエストが、Web API経由で送信された場合に発生するエラーが修正されました。
Dr.Web Enterprise Proxyでは、以下の変更が行なわれました。
- Dr.Web Enterprise Proxyの負荷が大きい場合に、IDを持たないAgentがインストールできない問題が解決されました。
- 起動時のメモリ消費を削減しました。
- バージョン6のAgentが、プロキシサーバー経由で接続できない問題が解決されました。
Agentに含まれるコンポーネントでは、以下の変更が行なわれました。
- 最新のWindows 10 Creators Updateとの互換性が保たれました。
- 各コンポーネントが、最新バージョンへアップデートされました。
アップデートされたDr.Web Enterprise Security SuiteはDr.Web Control Center のwebインターフェースから入手することができます。アップデート日は2017年5月11日になっています。また、アップデートされたディストリビューションファイルは、Doctor Webサイトからダウンロードできます。
2017年6月1日
株式会社Doctor Web Pacific
上記の製品に含まれるDr.Web Anti-rootkit API、およびDr.Web Anti-virus、 Dr.Web Security Space、 Dr.Web Enterprise Security Suite、 Dr.Web AV-Desk、 Dr.Web KATANA とDr.Web CureNet!に含まれるDr.Web SelfPROtectでは、最新の脅威を含む脅威検出アルゴリズムが改善されました。
アップデートは自動的に行われますが、システムの再起動が必要です。
2017年5月31日
2017年5月には、Android向けの新たなトロイの木馬が複数Google Play上で発見されました。そのうちの1つはインターネットからアプリケーションをダウンロードし、機密情報を盗むよう設計されたトロイの木馬で、また別の1つは追加のプログラムモジュールをダウンロード・起動し、迷惑な広告を表示させるものでした。また、5月にはユーザーの口座から金銭を盗むバンキング型トロイの木馬も拡散されています。
5月の主な傾向
- Google Play上でトロイの木馬を発見
- Android向けバンキング型トロイの木馬の拡散
5月のモバイル脅威
5月の初め、オーディオプレイヤーに組み込まれた Android.RemoteCode.28 がGoogle Play上で発見されました。このトロイの木馬はインターネットから他のアプリケーションをダウンロードし、感染させたデバイスに関する情報やインストールされているソフトウェアに関するデータをC&Cサーバーに送信します。
Android.RemoteCode.28 は以下の特徴を備えています:
- Android.RemoteCode.28 のメインとなる悪意のある機能は暗号化された追加のモジュール内に組み込まれています。
- Android.RemoteCode.28 は起動から8時間後に初めて悪意のある動作を開始します。
- Android.RemoteCode.28 はエミュレータとデバッグツールの有無を確認し、それらを検出した場合は自身の動作を終了します。
Dr.Web for Androidによる統計
-
- Android.HiddenAds.83.origin
- Android.HiddenAds.76.origin
- Android.HiddenAds.68.origin
- モバイルデバイス上に迷惑な広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。
-
- Android.Sprovider.9
- ステータスバーに広告を表示させ、悪意のあるものを含む別のアプリケーションをダウンロード・インストールするよう設計されたAndroid向けトロイの木馬です。
-
- Android.Triada.264.origin
- 様々な悪意のある動作を実行する、マルチコンポーネントトロイの木馬です。
-
- Adware.Jiubang.1
- Adware.Batmobi.2.origin
- Adware.Leadbolt.12.origin
- Adware.Airpush.31.origin
- Adware.Appsad.1
- Androidアプリケーション内に組み込まれた望まないプログラムモジュールで、モバイルデバイス上に迷惑な広告を表示させます。
Google Play上のトロイの木馬
5月中旬、トロイの木馬 Android.Spy.308.origin の組み込まれたアプリケーションがGoogle Play上で発見されました。このアプリケーションはSumifi Devというデベロッパーによって配信されているものです。Android向けの公式ソフトウェアカタログ内に悪意のあるプログラムが侵入した例はこれが初めてではありません。Doctor Webでは、2016年7月に同じような事例を紹介しています。 Android.Spy.308.origin が発見された後、感染したアプリケーションはデベロッパーによってアップデートされ、トロイの木馬のコンポーネントは削除されました。現在では当該アプリケーションは無害化されています。
Android.Spy.308.origin は迷惑な広告を表示させ、追加のモジュールを密かにダウンロード・起動させます。また、機密情報を盗み、それらをC&Cサーバーに送信します。
バンキング型トロイの木馬
5月、サイバー犯罪者はMMSメッセージを使用して Android.BankBot.186.origin などのバンキング型トロイの木馬を拡散していました。ユーザーは詐欺ページへのリンクを含んだSMSメッセージを受け取り、そのページから悪意のあるAPKファイルがモバイルデバイス上にダウンロードされます。
Android.BankBot.186.origin はシステムから削除されないよう管理者権限を要求します。また、標準のSMSアプリケーションに取って代わることで、Androidの新しいバージョンに搭載されたセキュリティシステムを回避し、メッセージの送信や横取りを可能にします。その後、 Android.BankBot.186.origin は銀行口座の残高を確認し、サイバー犯罪者へと密かに送金を行います。
Androidデバイスを狙った悪意のあるプログラムは依然として大きな脅威となっています。トロイの木馬は悪意のあるWebサイトからだけでなく、公式アプリケーション配信サイトであるGoogle Playからも拡散されることがあります。お使いのスマートフォンやタブレットを危険なソフトウェアや望まないソフトウェアから守るため、Dr.Web for Androidをインストールすることをお勧めします。
今すぐ、Dr.WebでAndroidデバイスを保護します
2017年5月31日
株式会社Doctor Web Pacific
2017年5月の最も注目すべきイベントは、Dr.Web Anti-virusによって Trojan.Encoder.11432 として検出される悪意のあるプログラムWannaCryの大量拡散です。このワームはユーザーの介入なしに拡散され、プロトコル「SMB」の脆弱性を悪用してネットワークノードを感染させます。その後、感染させたコンピューター上のファイルを暗号化し、それらを復元するために身代金を要求します。そのほか5月には、Linuxを標的とする、Luaで書かれた複雑なマルチコンポーネントトロイの木馬や、macOSを狙った新しいバックドアが発見されています。
5月の主な傾向
- 危険な暗号化ランサムウェアWannaCryの拡散
- macOS向けの新たなバックドアの発見
- Linux向けのマルチコンポーネントトロイの木馬が登場
5月の脅威
5月には、WannaCryとして知られる悪意のあるプログラムについて多くのメディアで取り上げられました。この危険なアプリケーションはMicrosoft Windowsコンピューターを感染させるネットワークワームで、その拡散は2017年5月12日の午前10時頃に開始されました。このワームはペイロードとして暗号化トロイの木馬を含んでいます。Dr.Web Anti-virusはワームの全てのコンポーネントを Trojan.Encoder.11432 として検出します。
起動されると、ワームは自身をシステムサービスとして登録し、ローカルネットワーク内およびランダムなIPアドレスを持ったインターネット上でネットワークノードを探します。接続の確立に成功するとそれらのコンピューターを感染させ、暗号化トロイの木馬を起動させますが、この暗号化トロイの木馬はランダムな鍵を使用してコンピューター上のファイルを暗号化させます。 Trojan.Encoder.11432 は動作の過程でシャドウコピーを削除し、システムの復元機能を無効にします。このトロイの木馬は、テストとして復号化するファイルのリストを作成します。テストファイルの復号化とその他のファイルの復号化には異なる鍵が使用されるため、例え身代金を支払ったとしても、エンコーダーによって暗号化されてしまったデータが復元されるという保証はありません。この脅威に関する詳細についてはこちらの記事を、ワームに関する技術的な説明(英語)についてはこちらをご確認ください。
Dr.Web Anti-virusによる統計
- Trojan.InstallCore
悪意のある望まないアプリケーションをインストールするトロイの木馬ファミリーです。 - Trojan.DownLoader
感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。 - Trojan.Encoder.11432
被害者のコンピューター上で危険なランサムウェア型トロイの木馬を起動させるネットワークワームです。WannaCryとしても知られています。 - Trojan.LoadMoney
アフィリエイトプログラムLoadMoney のサーバー上で作成されるダウンロードプログラムです。感染させたシステム上に望まないソフトウェアをダウンロード・インストールします。 - Trojan.Moneyinst.133
他のトロイの木馬を含む、様々なソフトウェアを被害者のコンピューター上にインストールする悪意のあるプログラムです。
Doctor Web統計サーバーによる統計
- JS.DownLoader
JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。 - Trojan.InstallCore
悪意のある望まないアプリケーションをインストールするトロイの木馬ファミリーです。 - Trojan.DownLoader
感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。 - Trojan.Moneyinst.151
他のトロイの木馬を含む、様々なソフトウェアを被害者のコンピューター上にインストールする悪意のあるプログラムです。 - Trojan.PWS.Stealer
感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。
メールトラフィック内で検出された脅威の統計
- JS.DownLoader
JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。 - W97M.DownLoader
オフィスアプリケーションの脆弱性を悪用するダウンローダ型トロイの木馬です。感染させたコンピューター上に別の悪意のあるプログラムをダウンロードします。 - Trojan.PWS.Stealer
感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。
Dr.Web Bot for Telegramによって収集された統計
- Trojan.Encoder.11432
被害者のコンピューター上で危険なランサムウェア型トロイの木馬を起動させるネットワークワームです。WannaCryとしても知られています。 - Android.Locker.139.origin
Android向けのランサムウェア型トロイの木馬です。このトロイの木馬のまた別の亜種はデバイスをロックし、法律違反に関する警告を表示させます。ロックを解除するために、ユーザーは身代金の支払いを要求されます。 - Android.HiddenAds.24
モバイルデバイス上に迷惑な広告を表示させるトロイの木馬です。 - Android.Androrat.1.origin
Androidデバイス向けのスパイウェアプログラムです。 - BackDoor.Bifrost.29284
サイバー犯罪者から受け取ったコマンドを実行するバックドア型トロイの木馬です。
2017年5月には、以下のランサムウェアによる被害を受けたユーザーからDoctor Webテクニカルサポートサービスに対するリクエストがありました:
- Trojan.Encoder.858 — リクエストの14.39%
- Trojan.Encoder.11432 — リクエストの8.36%
- Trojan.Encoder.3953 — リクエストの7.41%
- Trojan.Encoder.761 — リクエストの2.62%
- Trojan.Encoder.10144 — リクエストの2.60%
- Trojan.Encoder.567 — リクエストの2.47%
Dr.Web Security Space 11.0 for Windows
は暗号化ランサムウェアからの保護を提供します。
この機能はDr.Web Anti-virus for Windowsには含まれていません。
| データ損失防止 | |
|---|---|
 |  |
2017年5月に非推奨サイトとしてDr.Webデータベースに追加されたアドレスの数は1,129,277件となっています。
| 2017年4月 | 2017年5月 | 推移 |
|---|---|---|
| + 568,903 | + 1,129,277 | + 98.5% |
その他の情報セキュリティイベント
5月の初め、「VK」ソーシャルネットワーク上の公式「Doctor Web」グループページ内に投稿されたコメントに含まれるリンクからトロイの木馬が拡散されていることがDoctor Webセキュリティリサーチャーによって発見されました。サイバー犯罪者によって残されたこれらのメッセージは、ユーザーにDr.Webアンチウイルスの無料ライセンスキーのダウンロードを提供するものでした。しかしながら、リンクをたどってしまった被害者は、コンピューター上に Trojan.MulDrop7.26387 をダウンロードしてしまうことになります。
この悪意のあるプログラムはサイバー犯罪者から受け取った様々なコマンドを実行することができます。それらのコマンドには、Windowsデスクトップ壁紙を置き換える、光学ドライブを開くまたは閉じる、マウスキーの機能を入れ替える、音声シンセサイザーやスピーカーを使用して特定の言葉を再生するなどのほか、ユーザーを怯えさせる動画を再生するというものもあります。この脅威に関する詳細についてはこちらの記事をご覧ください。
Linuxを標的とするマルウェア
5月、Luaスクリプトで書かれた、Linux向けのマルチコンポーネントトロイの木馬がDoctor Webのスペシャリストによって発見されました。 Linux.LuaBot と名付けられたこのトロイの木馬は31のLuaスクリプトで構成され、コンピューターのみでなく、ネットワークストレージやルーター、セットアップボックス、IPカメラなど、その他の「スマート」デバイスを感染させることができます。このトロイの木馬は攻撃対象となるIPアドレスのリストを生成し、特別な辞書を用いたブルートフォース攻撃によってログインとパスワードを割り出すことで、それらリスト上にあるリモートデバイスへの接続を試みます。接続に成功すると、感染させたコンピューター上に自身のコピーをダウンロードし、起動させます。
このトロイの木馬は実際にはバックドアであり、すなわちサイバー犯罪者から受け取ったコマンドを実行することができます。さらに、Linux.LuaBotは感染させたデバイス上でWebサーバーを起動させ、このサーバーを使用することでサイバー犯罪者は様々なファイルをロードすることが可能になります。Doctor WebのスペシャリストはLinux.LuaBot に感染したデバイスのユニークなIPアドレスに関する統計を収集しました。以下の図はそれらアドレスの地理的分布を表しています。
この脅威に関する詳細についてはこちらの記事を、技術的な説明(英語)についてはこちらをご確認ください。
macOSを標的とする悪意のあるプログラム
2017年春最後の月となる5月には、macOSを狙ったバックドアの拡散が発生しました。Mac.BackDoor.Systemd.1という名前でウイルスデータベースに追加されたこのトロイの木馬は以下のコマンドを実行することができます:
- 指定されたディレクトリのコンテンツ一覧を受け取る
- ファイルを読み込む
- ファイルに書き込む
- ファイルのコンテンツを取得する
- ファイルやフォルダを削除する
- ファイルやフォルダの名前を変更する
- ファイルやフォルダの権限を変更する(chmodコマンド)
- ファイルの所有者を変更する(chownコマンド)
- フォルダを作成する
- bashシェルでコマンドを実行する
- トロイの木馬をアップデートする
- トロイの木馬を再インストールする
- C&CサーバーのIPアドレスを変更する
- プラグインをインストールする
この脅威に関する詳細についてはこちらの記事をご覧ください。
モバイルデバイスを脅かす悪意のある、または望まないプログラム
5月には、別のプログラムをダウンロードし、情報をC&Cサーバーに送信する Android.RemoteCode.28 がGoogle Play上で発見されました。Google Play上では、その他にも Android.Spy.308.origin の組み込まれたアプリケーションが発見されています。このトロイの木馬は追加のコンポーネントをダウンロード・起動し、広告を表示させます。また、5月には、ユーザーの銀行口座から金銭を盗むバンキング型トロイの木馬 Android.BankBot.186.origin がMMSメッセージを使用して拡散されました。
中でも特に注目に値するモバイルマルウェアに関するイベントは以下のとおりです:
- Google Play上でAndroid向けトロイの木馬を発見
- ユーザーから密かに金銭を盗み、それらをサイバー犯罪者に送金するバンキング型トロイの木馬の拡散
モバイルデバイスを標的とする悪意のある・望まないプログラムに関する詳細はこちらの記事をご覧ください。
追加情報
25.05 Doctor Web、Linuxを標的としたマルチコンポーネントトロイの木馬を調査
2017年5月25日
株式会社Doctor Web Pacific
Linux.LuaBot ファミリーに属するこのトロイの木馬による最初の攻撃は、2016年12月にDoctor Webのセキュリティリサーチャーによって確認されています。このトロイの木馬は2016年11月から継続的に進化を続けており、 Linux.LuaBot の新しい亜種が定期的に登場していますが、全てのバージョンがLuaスクリプトで書かれています。 Linux.LuaBot は31のLuaスクリプトと2つの追加モジュールで構成され、それぞれが独自の機能を実行します。Intel x86(およびIntel x86_64)、 MIPS、 MIPSEL、 Power PC、 ARM、 SPARC、 SH4、 M68kのアーキテクチャを搭載するデバイスを感染させることができ、すなわち、コンピューターのみでなく、ルーターやセットアップボックス、ネットワークストレージ、IPカメラ、その他の「スマート」デバイスを幅広く感染させることができます。Doctor WebのスペシャリストはSPARCアーキテクチャ向けに設計されたトロイの木馬のサンプルを検出することはできませんでした。トロイの木馬はSPARCアーキテクチャを特定することはできますが、このアーキテクチャ向けの実際のモジュールは見つかっていません。
Linux.LuaBot に含まれるスクリプトは全て相互に依存しています。トロイの木馬は攻撃対象となるIPアドレスのリストを生成し、リスト上にあるリモートデバイスへの接続を試み、特別な辞書を用いたブルートフォース攻撃によってログインとパスワードを割り出します。ネットワークノードをハッキングするために Linux.LuaBot によって使用されるスクリプトは、攻撃対象デバイスのアーキテクチャを特定することができるのみでなく、サイバー犯罪者を欺くためのおとりのサーバー「ハニーポット」を見分ける特殊なメカニズムを持っています。「ハニーポット」は、サイバー犯罪者の用いる攻撃の手法やテクニックについて解析するために情報セキュリティスペシャリストによって使用されるものです。また、攻撃はTelnetプロトコルとSSHプロトコル経由で実行され、これらプトロコルの動作にはそれぞれ異なるLuaスクリプトが対応しています。デバイスへのアクセスに成功すると、悪意のあるスクリプトが該当するアーキテクチャの Linux.LuaBot をデバイス上にインストールします。Telnet経由での攻撃では、まず初めにデバイス上に小さなモジュールがインストールされ、このモジュールが起動されると、トロイの木馬をダウンロードします。SSH経由での攻撃では、直ちにトロイの木馬がダウンロードされます。
Linux.LuaBot モジュールの1つは完全に機能するWebサーバーで、HTTPプロトコル経由で動作します。このサーバーは感染したデバイス上にアプリケーションを保存して起動し、要求に応じてそのディレクトリからファイルを送信し、トロイの木馬のバージョンに関する情報を共有します。この度登場した Linux.LuaBot の新しいバージョンでは、デバイスに関するデータを送信する機能が取り除かれていました。
Linux.LuaBot はHTTPプロトコル経由でC&Cサーバーと通信し、送信される全ての情報は暗号化されています。新しい設定ファイルやモジュールの検索には、通常のTorrentネットワークで使用されるものと同じBittorent DHTプロトコルに基づいた、P2Pネットワークが使用されます。この機能にはまた別のスクリプトが使われます。また、送受信するメッセージの真正性を検証するために電子署名が用いられます。P2Pネットワークを利用できない場合、別のスクリプトが感染した他のノードを使用し、特別なリクエストに応じてファイルを感染したデバイス上にダウンロードすることで Linux.LuaBot をアップデートします。このスクリプトが使用されていたのは Linux.LuaBot の初期のバージョンのみです。
Linux.LuaBot がLinuxデバイスのユーザーにとって危険である理由は、このトロイの木馬が実際はバックドアであるという点にあります。換言すればすなわち、 Linux.LuaBot はサイバー犯罪者から受け取ったコマンドを実行することができます。さらに、このトロイの木馬の初期のバージョンは感染させたデバイス上でプロキシサーバーを起動させる機能を備えており、サイバー犯罪者はそのサーバーを使用してオンライン活動を匿名化していました。
Doctor Webのスペシャリストは Linux.LuaBot に感染したデバイスのユニークなIPアドレスに関する統計を収集しました。以下の図はそれらアドレスの地理的分布を表しています。
Doctor Webでは、異なる機能やアーキテクチャ上の特徴を持った複数の Linux.LuaBot の亜種について把握しています。Dr.Web Anti-virusは現時点で存在する Linux.LuaBot の全てのバージョンを検出することができます。
24.05 Dr.Web Security Space 11.1.2 for Androidをアップデート
2017年5月24日
株式会社Doctor Web Pacific
Dr.Web Security Space for Androidでは、以下の変更が加えられました。
- バージョン5.x以前のAndroidデバイスにおいて、Yandex.BrowserにてURLフィルターのエラーが修正されました。
- 一部のデバイスにおいて、アプリ動作の異常終了を引き起こす原因が解決されました。
- バージョン5.x以前のAndroidデバイスを対象に、インタフェースが変更されました。
本製品の最新バージョンをGoogle Play (Dr.Web Security Space、 Dr.Web Security Space Life) およびDoctor Webウェブサイトから入手できます。
アップデートは自動的に行われます。しかし、デバイス上の設定で自動更新が無効である場合、Google Playにアクセスし、アプリケーションのリストからDr.Web Security Space または Dr.Web Security Space Lifeを選択した後、「更新」をタップする必要があります。
Doctor Webのウェブサイトからアップデートを実行する場合には、新しいディストリビューションファイルをダウンロードする必要があります。更新の設定で「最新バージョン」が有効である場合、ウイルスデーベースが更新される際に、新しいバージョンに関する通知が表示されます。通知が表示されたダイアログボックスより新しいバージョンをダウンロードすることができます。
23.05 Dr.Web LiveDisk 9.0をアップデート
2017年5月23日
株式会社Doctor Web Pacific
今回のアップデートにより、USB対応バージョンにおいて、SSE2命令非対応CPUを実装しているコンピュータ上で本ユーティリティの異常終了を引き起こす問題が解決されました。
また、リムーバブルメディアにDr.Web LiveDiskを書き込むことができないエラーが修正されました。
2017年5月19日
みなさんこんにちは！野田貴子です。
先日、興味深い詐欺がこちらの記事（https://news.drweb.co.jp/show/?i=11257&lng=ja&c=9）で紹介されました。その名も「八百長詐欺」です。八百長というとスポーツの賭け試合などにおけるインチキのことですが、八百長とマルウェアが一体どう関係しているのでしょうか。
みなさんはパチンコ、スポーツの試合結果、株価などの予測が確実に当たるとしたら、その情報にお金を払いますか。子供の性別や性的嗜好を指定できる方法があるとしたら、その情報にお金を払いますか。どんなに切実でも、やめておいた方が無難です。このような商売は十中八九インチキ、あるいは違法（インサイダーなど）でしょうから。
これらの詐欺を行う人にとって、一番の壁はまず利用者に信用してもらうことです。信用してお金を払ってもらうに至れば、あとは一定の確率でクレームや返金があろうと問題ありません。
掛け試合、ロト、パチンコといったギャンブルでは、一度当たるところを実演してみせれば信憑性が上がります。
パチンコの場合は、無関係の人を「あの席に座って今当てている人がうちのスタッフだ。ただし周りの人にバレるから声はかけないで欲しい。」と紹介します。
ロトや試合の場合は、すでに終わったものをあたかも将来のまだ結果が出ていないものであると利用者に信じこませ、その結果を当ててみせる方法があります。
しかし、今回はマルウェアを利用した八百長詐欺に焦点を当ててみましょう。
仮に、お金を払えば未来のサッカーの試合結果を教えてくれるというサービスがあるとします。口コミを読むと評判は良さそうですが、本当に当たるのかどうかはまだ確信が持てません。そこで試しに、「試合結果予測お試しダウンロード（無料）」というリンクをクリックし、近日行われる予定の試合結果が書かれたファイルをダウンロードしました。
みなさんご想像の通り、このファイルがマルウェア（悪意のあるソフトウェア）です。必ずしもパソコンに感染するタイプのマルウェアではありませんが、人を騙そうと悪意を持っていることは確実です。
さて、このダウンロードしたファイルの中身を見ようとしたところ、パスワードのロックがかかっています。パスワードは試合が終わった後にメールで教えてもらえるようです。
後日試合が終わるとすぐにパスワードが送られてきました。パスワードを入力してファイルを開いてみると、なんと、たった今終わったばかりの試合の結果がファイルに書かれていました！今後はお金を払えば試合前にファイルの中身を見ることができるそうです。これはすごい！と予測能力を信じてしまった人は、次の試合予測を知るために代金を支払い、早速賭け試合に乗じます。しかし、これ以降送られてくる試合予測は、どれもデタラメなものばかりなのでした。
実はこのファイルには初めから試合結果の予測は書かれていません。試合後に送られてくるパスワードを入力すると、そのパスワードの種類によって試合結果が自動で書き換わるようにプログラムされているだけなのです。
Dr.Webのデータベースにはこのタイプのウイルスも登録されているとはいえ、世の中に美味しい話はそうそうあるものではないということを、心に留めておきたいと思います。
興味がある方はDr.Webの製品ページも是非ご覧ください。
http://products.drweb.co.jp/biz/business_products/
執筆者：野田貴子（吉政創成株式会社）
2017年5月18日
株式会社Doctor Web Pacific
Dr.Web Security Space 11.0、Dr.Web Anti-virus 11.0 およびDr.Web Anti-virus 11.0 for Windows File Serversに含まれるControl Serviceでは、ライセンスの有効期間が開始していない状況において期限切れと表示されるエラーが修正されました。
Dr.Web Security Space 11.0、 Dr.Web Enterprise Security Suite 10.0 および Dr.Web AV-Desk 10.0 に含まれるLua-script for antispamでは、アンチスパムモジュールのアンインストール後に、dwantispam.exeのプロセスが正常に終了するために、必要な変更が加えられました。
アップデートは自動的に行われますが、システムの再起動が必要です。
18.05 Dr.Web KATANA 1.0 および Dr.Web KATANA 1.0 Business Edition に含まれるコンポーネントをアップデート
2017年5月18日
株式会社Doctor Web Pacific
本アップデートにより、脅威の検出・駆除がさらに改善されました。
Dr.Web KATANAのアップデートは自動的に行われますが、システムの再起動が必要です。Dr.Web KATANA Business Editionの場合、管理モジュールの再起動が必要です。
17.05 Doctor Webによる「WannaCry」トロイの木馬についての追加報告
2017年5月17日
株式会社Doctor Web Pacific
「Wannacry」と呼ばれるこのマルウェアはユーザーの介入なしにMicrosoft Windowsコンピューターを感染させるネットワークワームです。Dr.Web Anti-virusはこのワームの全てのコンポーネントを Trojan.Encoder.11432 として検出します。2017年5月12日の午前10時より拡散され始めたこのワームは、ランダムなIPアドレスを持った、ローカルネットワーク内にある全てのコンピューターとリモートインターネットサーバーを攻撃し、445番ポートへの接続確立を試みます。1台のコンピューターを感染させると、他のコンピューターへと感染を広げようとします。このことが、今回の大規模な拡散に繋がっています。この悪意のあるプログラムは複数のコンポーネントで構成されており、暗号化トロイの木馬はそのうちの1つに過ぎません。
ネットワークワーム
起動されると、ワームはトロイの木馬内で指定されているドメインを持つリモートサーバーに対してリクエストを送信し、応答を受け取ると動作を終了します。一部のメディアでは、このドメインを登録することでWannaCryの拡散を止めることに成功したと報道しています。トロイの木馬が拡散された時点で、このドメインはサイバー犯罪者の不注意によって未登録となっていました。しかしながら、今回の解析の結果からは、このトロイの木馬はローカルネットワークにアクセスしているがインターネットには接続されていないコンピューターを感染させ、それらのコンピューター上で動作することが可能であるということが示唆されています。拡散が終了したと考えるのは早計に過ぎるといえるでしょう。
このトロイの木馬は起動されると「mssecsvc2.0」という名のシステムサービスとして自身を登録します。また、コマンドラインパラメータに対して敏感に反応し、引数が指定されると、エラー発生に備えてサービスの自動起動を有効にしようと試みます。システムサービスとして起動されてから24時間以内にワームは自動的に動作を終了します。
感染させたコンピューター上で起動された後、ワームはそのコンピューターのローカルネットワーク内でアクセス可能なサーバーとインターネット上のランダムなIPアドレスを持ったコンピューターを探し、445番ポートへの接続を試みます。接続の確立に成功すると、SMBプロトコルの脆弱性を悪用してそれらのコンピューターを感染させます。
ドロッパー
ドロッパーは、OS内に悪意のある実行ファイルをインストールするよう設計されたコンポーネントです。WannaCryのドロッパーにはパスワード保護されたZIPアーカイブが含まれており、このアーカイブにトロイの木馬エンコーダーの暗号化されたファイル、サイバー犯罪者からの要求を含んだWindowsデスクトップの壁紙、onionサーバーのアドレスとビットコインの送金先となるウォレット名を含んだファイル、Torネットワーク内で動作するプログラムを含んだアーカイブが含まれています。ドロッパーはワームの本体から起動され、自身をシステム内にインストールし、そして自身のコピーをランダムな名前のシステムサービスとして起動させようと試みます。この試みに失敗した場合、コピーは普通のプログラムとして実行されます。ドロッパーの主な役割はアーカイブの中身をディスク上に保存し、エンクリプターを起動させることです。
トロイの木馬型ランサムウェア
Trojan.Encoder.11432 はランダムなキーでファイルを暗号化します。ファイルには暗号化キーの長さに関するデータ、暗号化キー自体、暗号化の種類とソースファイルのサイズに関する情報が含まれています。暗号化の過程でf.wnryという名前のファイルが作成され、そこにはトロイの木馬がテストとして復号化するファイルのリストが含まれています。
このトロイの木馬は、感染したコンピューター上のシャドウコピーを削除し、システムの復元機能を無効にする作成者のデコーダーを持っています。また、Windowsデスクトップの壁紙を以下のような画像ファイルに変更します：
次に、Torネットワークとの動作に使用するアプリケーションを展開(または、それらをインターネットからダウンロード)し、トロイの木馬の設定ファイル内で指定されたアドレスを持つonionサーバーに接続します。そのサーバーから、仮想通貨ビットコインを入金させるウォレット名を受け取り、設定ファイル内に書き込みます。 Trojan.Encoder.11432 はonionサーバーとのデータのやり取りに独自のプロトコルを使用しています。
デコーダーは、f.wnryファイル内のリストで指定されている複数のテストファイルを復号化することを可能にします。復号化に必要な秘密鍵は、悪意のあるプログラムのコンポーネントの1つに含まれています。そのため、トロイの木馬を使用することなくテストファイルを復号化することができます。ただし、テストファイルの復号化とその他のファイルの復号化には異なる鍵が使用されるため、例え身代金を支払ったとしても、エンコーダーによって暗号化されてしまったデータが復元されるという保証はありません。
残念ながら、現時点では Trojan.Encoder.11432 によって暗号化されたファイルを復元することはできません。
感染の兆候
WannaCryに感染したシステムには以下のサービスとファイルが存在します：
- 「mssecsvc2.0」システムサービス("Microsoft Security Center (2.0) Service"と表示)
- トロイの木馬のエンコーダーファイル「C:\WINDOWS\tasksche.exe」(悪意のあるプログラムの古いコピーは「C:\WINDOWS\qeriuwjhrf」内に保存されています)
感染した場合の対処
- さらなる感染拡大を防ぐため、感染したシステムやコンピューター(重要なデータを含むもの)をコンピューターネットワークから隔離する
- データのバックアップを、あらゆるコンピューターから切り離して外部ストレージ上に保存する
本ワームに関する技術的な説明(英語)についてはこちらをご確認ください。
15.05 Doctor Webのユーザーはランサムウェア「WannaCry」から保護されています
2017年5月15日
株式会社Doctor Web Pacific
このトロイの木馬の最初の亜種 (Wanna Decryptor 1.0) は2017年3月27日午前07:20にDoctor Webのラボにて解析され、同日午前11:51にウイルスデータベースに追加されています。
「WannaCry」としても知られる Trojan.Encoder.11432 は金曜日の夜から拡散され、土曜日には世界中で大手企業のコンピューターを感染させています。
Doctor Webでは5月12日午前10:45にそのサンプルを入手し、Dr.Webウイルスデータベースに追加しました。
サンプルがデータベースに追加される以前より、Dr.Webは BACKDOOR.Trojan として既にこのトロイの木馬を検出していました。
Trojan.Encoder.11432 と名付けられたこのトロイの木馬はマルチコンポーネントなエンコーダーで、4つのコンポーネント(ネットワークワーム、エンコーダードロッパー、エンコーダー、作成者のデコーダー)を含んでいます。
Trojan.Encoder.11432 は感染させたコンピューター上にあるファイルを暗号化し、それらを復元するために、指定されたe-wallet(イーウォレット)にビットコインで身代金を支払うよう要求します。
このトロイの木馬の大規模拡散は、プロトコル「SMB」の脆弱性が要因となっています。Windows 10よりも古いバージョンの全てのWindows OSがこの脆弱性を持っています。Dr.Webユーザーは、 Trojan.Encoder.11432 の拡散が開始されて以降、何らの被害も受けていません。
Trojan.Encoder.11432 による感染からコンピューターを守るための推奨事項は以下のとおりです：
- お使いのOS向けのMS17-010アップデート(technet.microsoft.com/en-us/library/security/ms17-010.aspxで入手可能)と最新のセキュリティアップデートを全てインストールする。
- アンチウイルスをアップデートする。
- ファイアウォールを使用して、攻撃対象のネットワークポート(139、445)を閉じる。
- 攻撃されている、脆弱性を持ったOSのサービスを無効にする。
- 新しいソフトウェア(実行ファイル)のインストールと実行を禁止する。
- 不必要なユーザー権限を削除する(新しいソフトウェアを起動・インストールする権限)。
- システム内の必要のないサービスを削除する。
- Torネットワークへのアクセスを禁止する。
15.05 Dr.Web Light 10.0 for Androidをリリース
2017年5月15日
株式会社Doctor Web Pacific
Dr.Web Light for Androidのインターフェースでは、変更が加えられ、発見された脅威に関するすべての通知が同じのイベントウィンドウにて表示するようになり、ユーザビリティの向上が図られました。
また、本プログラムでは、新しいアンチウイルスエンジンが搭載されたほか、悪意のあるオブジェクトの検知能力も、さらに向上しました。
さらに、発生しているエラーを特定するために、詳しい情報を収集・記録するシステムが導入されました。
Dr.Web Light for Androidのバージョン10.0へのアップデートが自動的に行われます。しかし、デバイス上の設定で自動更新のオプションが無効である場合、Google Playにアクセスし、アプリケーションのリストからDr.Web Lightアンチウイルスを選択した後、「更新」をタップする必要があります。
12.05 Doctor Web、Macを標的とする新たなバックドアを発見
2017年5月12日
株式会社Doctor Web Pacific
Mac.BackDoor.Systemd.1 としてDr.Webウイルスデータベースに追加されたこのバックドア型トロイの木馬は、起動されるとミススペリングを含んだメッセージ「This file is corrupted and connot be opened」をコンソールに表示させ、systemdと呼ばれるデーモンとして自身を再起動させます。また、 Mac.BackDoor.Systemd.1 は該当するフラグをセットすることで自身のファイルを隠そうと試みます。次に、SHコマンドを使用してplistファイルを作成し、自動起動するよう自身を登録します。
このトロイの木馬の本体には暗号化された設定情報が保存されています。その情報に応じて、 Mac.BackDoor.Systemd.1 はC&Cサーバーとの接続を自身で確立するか、または接続リクエストを受信するのを待ちます。接続されると、バックドアは受け取ったコマンドを実行し、サイバー犯罪者に対して以下の情報を定期的に送信します：
- OSの名前とバージョン
- ユーザー名
- ルート権限を取得可能かどうか
- 使用可能な全てのネットワークインターフェースのMACアドレス
- 使用可能な全てのネットワークインターフェースのIPアドレス
- 外部IPアドレス
- CPUの種類
- RAM容量
- マルウェアのバージョンと設定に関するデータ
Mac.BackDoor.Systemd.1 は独自のファイルマネージャーを持っており、サイバー犯罪者は感染したコンピューター上にあるファイルやフォルダに対して様々な操作を行うことが可能です。このバックドアは以下のコマンドを実行することができます：
- 指定されたディレクトリのコンテンツ一覧を受け取る
- ファイルを読み込む
- ファイルに書き込む
- ファイルのコンテンツを取得する
- ファイルやフォルダを削除する
- ファイルやフォルダの名前を変更する
- ファイルやフォルダの権限を変更する（chmodコマンド）
- ファイルの所有者を変更する（chownコマンド）
- フォルダを作成する
- bashシェルでコマンドを実行する
- トロイの木馬をアップデートする
- トロイの木馬を再インストールする
- C&CサーバーのIPアドレスを変更する
- プラグインをインストールする
Mac.BackDoor.Systemd.1 はMac向けのDr.Web製品によって検出・削除されるため、Dr.Webユーザーに危害が及ぶことはありません。
04.05 Doctor Webセキュリティリサーチャー、「VK」ソーシャルネットワーク上で 無料のライセンスキーとして拡散されていた新たなトロイの木馬を発見
2017年5月4日
株式会社Doctor Web Pacific
少し前に、「VK」ソーシャルネットワーク上の公式「Doctor Web」グループ内に、Dr.Web Anti-virusの無料ライセンスキーのダウンロードを提供する匿名ユーザーからのメッセージが出現しました。多くの場合、このようなメッセージにはRGhostファイルホスティングへのリンクが含まれています。リンクをたどってしまった被害者は、26 KBのRARアーカイブをダウンロードするかどうかを尋ねられます。Doctor Webグループのモデレーターは、これらのメッセージを可能な限り速やかに削除するよう努めていますが、投稿された直後に削除することは時として困難な場合があります。
アーカイブにはシンプルテキストドキュメントのアイコンを持った小さな実行ファイルが含まれています。この悪意のあるプログラムは同じバックドアですが、シグネチャ検出を回避するために、オンライン上で公表される度に新たにパックされているということが、解析された全てのサンプルから明らかになっています。その結果、 Trojan.MulDrop7.26387 と名付けられたこのトロイの木馬は、Dr.Web Anti-virusによって直ちに検出されることがありません。新しいサンプルは、ウイルスデータベースが新たに更新された後でのみ検出することが可能になります。 Trojan.MulDrop7.26387 はアンチウイルスのライセンスキーを装って拡散されていることから、サイバー犯罪者は、アンチウイルスソフトウェアを使用していないか、または無償の保護プログラムを使用している不注意なユーザーを陥れようと企んでいたものと考えられます。
Trojan.MulDrop7.26387 は非常に興味深い昔ながらの機能を備えた多目的バックドアで、広く知られているRemote Administration Tool (RAT) Njrat 0.7 Golden By Hassan Amiriをベースに作成されています。このツールはDr.WebによってBackDoor.NJRat.1013として検出されます。
起動後、 Trojan.MulDrop7.26387 はC&Cサーバーに接続し、感染したコンピューターに関する情報(ハードドライブのシリアル番号、インストールされているOSのビット版、コンピューター名、メーカー名、インストールされている場合はアンチウイルスのバージョン、Webカメラが使用可能かどうか)を送信します。このトロイの木馬は以下のコマンドを実行することができます：
- Windowsデスクトップ壁紙を置き換える
- コンピューターの電源を切る、または再起動させる
- 規定されたテキストでのシステムメッセージをスクリーン上に出力する
- マウスキーの機能を入れ替える
- 音声シンセサイザーやスピーカーを使用して特定の言葉を再生する
- Windowsタスクバーを隠し、その後復元する
- 光学ドライブを開く、または閉じる
- ディスプレイをオンオフする
- 指定されたリンクをブラウザで開く
- システムレジストリの指定された値を読み込む、インストールする、または削除する
- スクリーンショットを作成し、C&Cサーバーに送信する
- 指定された実行ファイルをダウンロード・起動する
- トロイの木馬の実行ファイルをリフレッシュ、または削除する
Trojan.MulDrop7.26387 の最も危険な機能の1つは、キー入力を記録する、埋め込まれたキーロガーです。このデータはコマンドに応じてサイバー犯罪者のサーバー上にダウンロードされます。また、このトロイの木馬は恐ろしい画像の含まれたSWF動画を予期せぬタイミングで感染したコンピューター上に表示させることができます。
ユーザーを怯えさせたり混乱させたりすることを主な目的としたこのような悪意のあるプログラムは昨今では非常に珍しいものとなっています。多くのトロイの木馬は収益を得ることを目的としたものであり、ただ単に「楽しむ」ためにユーザーを怖がらせるようなウイルスを拡散させるというのは、まるで中学生のいたずらのようです。
「ただほど高いものはない」という諺が示すとおり、商用ソフトウェアのライセンスキーを無料で提供するあらゆるダウンロードリンクは結局のところ詐欺であると言えます。このような罠に陥らないよう十分に警戒するようにしてください。
03.05 Dr.Web 11.0.2 for Microsoft Exchange Serverをリリース
2017年5月3日
株式会社Doctor Web Pacific
Dr.Web 11.0.2 for Microsoft Exchange Serverでは、下記のエラーが修正されました。
- 本製品の旧バージョンをアップデートする際、ユーザープロフィールが正常に表示されないエラー
- Active Directoryに接続できないエラー
- 潜在的な危険性があるプログラム、ダイアラー、ハッキングツール、アドウェア、およびジョーカーのスキャンを無効化できないエラー
アップデートの詳細およびDr.Web 11.0.2 for Microsoft Exchange Serverのシステム要件については、リリースノート(英語)をご覧ください。
