2022年5月11日

株式会社Doctor Web Pacific

Doctor Webは、修復ユーティリティ Dr.Web CureIt! に含まれる Dr.Web Virus-Finding Engine (7.00.56.04040)、 Dr.Web Scanning Engine (12.6.9.202203290)、 Dr.Web Protection for Windows (12.06.10.04180) および Dr.Web Anti-rootkit API (12.6.20.202204130) をアップデートしました。今回のアップデートでは、改良および内部変更が加えられました。

Dr.Web Virus-Finding Engineでは、本コンポーネント動作の安定性向上が図られました。

さらに、Dr.Web Scanning Engineでは次の変更が追加されました。

• アーカイブのスキャン時に、マスクを使用したファイル除外オプションが追加されました。ファイル名およびアーカイブ内のパスに対し除外を適用できます。
• ファイルを隔離からネットワークフォルダへ移動する際に、パスが正しくない旨が表示される問題が解決されました。
• Dr.Web Scanning Engineプロセス用のアイコンが追加されました。

上記に加え、信頼済みアプリケーションのデータベースが更新されました。

Dr.Web CureIt!のダウンロード

2022年4月27日

株式会社Doctor Web Pacific

Doctor Webは、 Dr.Web Security Space 12.0、 Dr.Web Anti-virus 12.0、 Dr.Web Anti-virus 12.0 for Windows Server、 Dr.Web Enterprise Security Suite 12.0および13.0、 Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれるコンポーネントをアップデートしました。 Windows Security Center との連携を図るため、新しいモジュール Dr.Web WSC Service (1.0.0.04150) およびコンフィギュレーションスクリプト Lua-script for wsc-service (12.10.16.01280) の追加に伴い、今回のアップデートは実施されました。さらに、内部変更が加えられ、発見されたエラーが修整されました。

上記の全製品にて下記のコンポーネントがアップデートされました。

Dr.Web Scanning Engine (12.6.9.202203290)

• アーカイブのスキャン時に、マスクに基づくファイル除外オプションが追加されました。除外オプションには、ファイル名およびアーカイブ内のパスに対し除外を適用できます。
• 脅威を駆除する際に発生するエラーが修整されました。
• ファイルを隔離からネットワークフォルダへ移動する際に、パスが正しくない表示されるエラーが修整されました。
• Dr.Web Scanning Engine プロセスのためのアイコンが追加されました。

Dr.Web Control Service (12.12.0.03180)

• Windows Security Centerとの連携は、個別のモジュール Dr.Web WSC Service により行われます。
• 許可デバイスリスト内のオブジェクトが追加・削除される際のデバッグロギングが拡充されました。
• Joke、 Hacktool および Riskware プログラムを対象に、 Dr.Web 12.0 for Windows 製品の設定にてデフォルト値に戻す際に、誤った値になる問題が解決されました。
• Windows イベントログでは、脅威の検出に関するメッセージに含まれていたエラーが修整されました。
• ライセンス状態（ブロック済み等）の更新ルーチンに変更が加えられました。
• システム時刻に変更があった場合、自動更新を妨げるエラーが修整されました。
• 製品動作の安定性が向上しました。

Dr.Web Protection for Windows (12.06.10.04180)

• 暗号化ランサムウェア検出の効率化が図られました。

上記のほか、 Dr.Web Enterprise Security Suite 12.0 および13.0、 Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれる Dr.Web ES Service (12.12.0.03220) が、アップデートされました。

• サブスクリプション（Dr.Web AV-Desk）を法人向けタイプに変更した場合、Office Controlの設定が要求されない問題が解決されました。
• "プログラム終了を待機" の設定が指定されている状態でも、タスクスケジューラーのジョブが、関連付けられているジョブのプログラムが終了する前に実行されてしまう問題が解決されました。
• ロギングへ改良が加えられました。
• 製品動作の安定性が向上しました。

さらに、動作の安定性向上を図り、上記の製品に含まれる Dr.Web ES Update Helper (1.0.3.01280) が更新されました。また、 Dr.Web Enterprise Security Suite 13.0 および Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれる Dr.Web Mesh Client (12.5.2.202203210) も更新されました。

Dr.Web Security Space 12.0、 Dr.Web Enterprise Security Sute 12.0 および 13.0、 Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれるコンフィギュレーションスクリプト Lua-script for antispam (12.5.8.04140) がアップデートされ、製品インストールおよび削除の際にログに発生するエラーが修整されました。

さらに、以下のコンポーネントが更新されました。

• 上記の全製品に含まれる Lua-script for av-service、 dwprot、 spider-g3、 traffic-hook (12.10.14.12090) および Lua-script for amsi-plugin、 elam (12.10.16.01270)
• Dr.Web Security Space 12.0、 Dr.Web Anti-virus 12.0 for Windows Server、 Dr.Web Enterprise Security Suite 12.0 および13.0、 Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれる Lua-script for device-guard (12.10.14.12090)
• Dr.Web Security Space 12.0、 Dr.Web Anti-virus 12.0、 Dr.Web Enterprise Security Suite 12.0 および 13.0、 Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれる Lua-script for net-filter (12.10.14.12090)
• Dr.Web 12.0 for Windows に含まれる Products.xml for standalone (12.0.6.07280)
• Dr.Web Enterprise Security Suite 12.0 に含まれる Products.xml for es-agent (12.0.4.02070) および Lua-script for es-service (12.5.6.02070)
• Dr.Web Enterprise Security Suite 13.0 および Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれる Products.xml for es-agent (13.0.6.07280) および Lua-script for es-service (12.10.14.12090)

今回のアップデートを実行時に、新しいモジュールDr.Web WSC Serviceが接続されるため、Windows Security Center より、アンチウイルスの無効化および再度の有効化についての通知が出る可能性がありますが、アンチウイルス保護は継続して動作しますので、ご安心ください。

アップデートは自動的に行われますが、システムの再起動が必要です。

2022年4月26日

株式会社Doctor Web Pacific

Doctor Webは、一部のDr.Web製品に含まれるx64、x86 および ARM64プラットフォーム向け Dr.Web Virus-Finding Engine (7.00.56.04040) をアップデートしました。

今回のアップデートでは、内部変更が加えられ、Dr.Web Virus-Finding Engineの動作安定性の向上が図られました。

Dr.Web Virus-Finding Engineの更新が適用された製品は、下記となります。

x64プラットフォーム(個人向け製品):

• Dr.Web for macOS 11.1/12.0/12.5
• Dr.Web Anti-virus for Linux 11.1
• Dr.Web AV-Desk 10.00.1/10.01.0/13 (Dr.Web Anti-virusサブスクリプションサービス)
  ※UNIX対応Dr.Web Agent

x64プラットフォーム(法人向け製品):

• Dr.Web for UNIX Server 11.1
• Dr.Web for UNIX Mail Server 11.1
• Dr.Web for Internet Gateways UNIX 11.1
• Dr.Web Enterprise Security Suite 10.00.0/10.00.1/10.01.0/11.00/12.00/13
  ※UNIX対応Dr.Web Agent
• Dr.Web for Kerio Mail Server (Unix) 11.1

x86プラットフォーム(個人向け製品):

• Dr.Web Anti-virus for Linux 6/11.0/11.1
• Dr.Web for macOS 9.0/11.0
• Dr.Web Security Space 11.5/12
• Dr.Web Anti-virus 11.5/12
• Dr.Web AV-Desk 10.01.0/13 (Dr.Web Anti-virusサブスクリプションサービス)

x86プラットフォーム (法人向け製品):

• Dr.Web for UNIX Server 6/11.0/11.1
• Dr.Web for UNIX Mail Server 6/11.0/11.1
• Dr.Web for Internet Gateways UNIX 6/11.0/11.1
• Dr.Web Anti-virus for Windows Server11.5/12
• Dr.Web for MS Exchange 11.5/12
• Dr.Web for IBM Lotus Domino (Windows対応) 11.5/12
• Dr.Web LiveDisk 9
• Dr.Web Enterprise Security Suite 11.00/12.00/13

ARM64プラットフォーム(個人向け製品):

• Dr.Web Anti-virus for Linux 11.1
• Dr.Web for macOS 12.0/12.5
• Dr.Web AV-Desk 13 (Dr.Web Anti-virusサブスクリプションサービス)
  ※UNIX対応Dr.Web Agent

ARM64プラットフォーム(法人向け製品):

• Dr.Web for UNIX Server UNIX 11.1
• Dr.Web for UNIX Mail Server 11.1
• Dr.Web for Internet Gateways UNIX 11.1
• Dr.Web Enterprise Security Suite 12/13
  ※UNIX対応Dr.Web Agent

Dr.Web Virus-Finding Engine は、システムのアンチウイルス保護の主要なコンポーネントであります。本コンポーネントはウイルスやマルウェアの検索・検出ルーチンを実行し、不審な挙動を解析します。

アップデートは自動的に行われます。

2022 年4月20日

Doctor Webは、Dr.Webアンチウイルス30周年を記念して、包括的保護を提供するDr.Web Securty Space 3年ライセンス(PC2台)を2年ライセンスと同額の価格でご購入いただける期間限定のキャンペーンを2022年4月20日から4月26日まで実施します。

本キャンペーンの期間中は、3年ライセンス(PC2台)の価格は8584JPYではなく、6329JPYとなります。

Dr.Web Security Space には、30年間にわたり蓄積してきた弊社の豊富なノウハウが活かされております。本製品に含まれるコンポーネントを活用し、さまざまな種類の脅威に対して防止対策を講じることができます。Dr.Web は、ファイルシステム保護、スパム対策、脅威が含まれるウェブサイトへのアクセス制御、暗号化ランサムウェア防御対策などを提供します。

Dr.Web Security Spaceライセンスを購入された場合、Androidデバイス向け保護を無料でお使いいただけます。本キャンペーンの条件では、モバイルデバイス2台を無料で保護することが可能です。

Dr.Webをご購入できる絶好のチャンスです。是非、今回のチャンスをお見逃しないようお願い申し上げます!

購入

2022年4月18日

株式会社Doctor Web Pacific

Doctor Webは、 Dr.Web Security Space for macOS をバージョン 12.6.2 へアップデートしました。 今回のアップデートでは、発見されたエラーが修整され、内部変更が加えられました。

本アップデートにより、一部のファイルに対するスキャンの終了を妨げる問題が解決されました。

さらに、本アプリのインターフェイスにてエラーの説明が修正されたほか、Dr.Webクラウドサービスへの内部変更が追加されました。

Dr.Web Security Space 12.6.2 for macOS を使用するには、新しいディストリビューションファイルをダウンロードする必要があります。.

2022年4月18日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Enterprise Security Suite 13.0 および Dr.Web AV-Desk 13.0 の Server ソフトウェアを "REL-1300-202204040" にアップデートしました。

Dr.Web Serverに含まれる OpenSSL ライブラリが、バージョン 1.1.1n へアップデートされました。

上記のほか、Serverにてキャッシュファイルがタイムリーにクリアされないエラーが修正されました。

アップデートは、Dr.Webグローバルアップデートシステム経由で実施されます。

2022年4月14日

株式会社Doctor Web Pacific

Doctor Webは、Telegram Messenger上で安全なURLやファイル交換向け保護を提供する DrWebBot 2.1 for Telegram をアップデートしました。

今回のアップデートでは、リンクの処理および解析メカニズムに改良が加えられたほか、アプリケーションの検査ルーチンの一部が最適化されました。

Dr.Web Bot for Telegram を使用するには、 Telegramにおけるアカウント @DrWebBot を検索するか、直接 telegram.me/drwebbot にアクセスした後、ファイル又はリンクを送信すると、Dr.Web Bot にオンザフライでスキャンされ、その結果が表示されます。

2022年4月13日

株式会社Doctor Web Pacific

Doctor Webは、 Dr.Web Anti-virus 11.1 for Linux、 Dr.Web Anti-virus 11.1 for UNIX Server、 Dr.Web Anti-virus 11.1 for UNIX Mail Server、 Dr.Web Anti-virus 11.1 for Internet Gateways UNIX および Dr.Web Enterprise Security Suite 13.0 の Scanning Server に含まれるモジュール drweb-configd (11.1.16-2202221628)、 drweb-ctl (11.1.12-2202251502) および drweb-update (11.1.8-2202221312) をアップデートしました。

上記のコンポーネントに変更が加えられ、動作が改善されました。

アップデートは、Dr.Webリポジトリ経由で実施されます。 Dr.Web Enterprise Security Suite 13.0 の Scanning Serverをアップデートするには、UNIX系Dr.Web製品のrunパケットの標準プロシージャーが用いられます。

2022年4月6日

株式会社Doctor Web Pacific

Doctor Webは、2022年2月のウイルスレビューを公開しました。2022年2月には、1月と比較して検出されたユニークな脅威の合計数が減少しています。最も多く検出された脅威の多くを引き続きアドウェアや不要なプログラムが占めていました。メールトラフィック内では、フィッシングサイトやバックドアが最も多く拡散されています。テクニカルサポートサービスに寄せられる、ランサムウェアによって暗号化されてしまったファイルの復号化リクエスト数は前月と比較して約10.72%減少しています。詳細については2月のレビューをご覧ください。

ウイルスレビュー

2022年4月5日

株式会社Doctor Web Pacific

Doctor Webは、2022年2月のモバイルマルウェアレビューを公開しました。2月には、他のアプリの通知から情報を盗むよう設計されたトロイの木馬 Android.Spy.4498 の検出数が前月の約2倍に増加し、引き続き最も広く拡散されたAndroid向け脅威となりました。アドウェア型トロイの木馬も依然として多く検出されています。
Google Playからは２月にもさまざまな悪意のあるアプリが拡散されました。詐欺スキームに用いられる Android.FakeApp ファミリーに属する偽アプリや多機能トロイの木馬 Android.Triada などの脅威が発見されています。詳細については2月のレビューをご覧ください。

モバイルマルウェアレビュー

2022年4月5日

株式会社Doctor Web Pacific

Doctor Webは、一部のDr.Web製品に含まれる Dr.Web Virus-Finding Engine をバージョン 7.00.54.03080 から、以前のバージョンである 7.00.49.09080 にロールバックしました。

ウイルスデータベースの完全な再起動が実施される際に、本コンポーネントが正常に動作しない問題を確認したため、安定した製品動作を確保するため以前のバージョンにロールバックされました。

対象製品は、下記となります。

• Dr.Web Security Space 7/8/9/10/11.0
• Dr.Web Anti-virus 7/8/9/10/11.0
• Dr.Web Anti-virus 7/8/10/11.0 for Windows Server
• Dr.Web 10.0/11 for MS Exchange
• Dr.Web 10/11.0 for IBM Lotus Domino (Windows)
• Dr.Web ATM Shield 6
• Dr.Web 6 for Kerio Mail Server (Windows)
• Dr.Web 6 for Kerio Internet Gateways (Windows)
• Dr.Web 6 for MIMEsweeper
• Dr.Web LiveDisk 9
• Dr.Web 6 for Qbik Wingate
• Dr.Web 6 for TrafficInspector
• Dr.Web CureNet! 10/11
• Dr.Web 11 for Microsoft ISA Server and Forefront TMG
• Dr.Web AV-Desk 10.00.1
• Dr.Web Enterprise Security Suite 10.00.0/10.00.1/10.01.0

上記のほか、 Dr.Web Enterprise Security Suite 10.01.0 に含まれる Dr.Web Scanning Engine (11.5.4.201810010) がアップデートされました。

Dr.Web Virus-Finding Engine をロールバックするには、システムの再起動が必要です。 Dr.Web Enterprise Security Suite 10.01.0を更新時に、 再起動を求めるダイアログが表示されます。他の上記Dr.Web製品の場合、ユーザーが手動にてシステムを再起動する必要があります。注意!再起動が実施されるまで、製品は正常に動作しない可能性があります。

2022年4月5日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Security Space 12.0、Dr.Web Anti-virus 12.0、Dr.Web Anti-virus 12.0 for Windows Server、 Dr.Web Enterprise Security Suite 12.0 と 13.0、およびDr.Web AV-Desk 13.0のDr.Web Anti-virusサブスクリプションサービスに含まれるDr.Web Anti-rootkit API(12.6.19.202203302)をアップデートしました。

本アップデートにより、Dr.Web Anti-rootkit API にて予防的保護へ変更が加えられ、誤検知を引き起こす原因が解消されました。

アップデートは自動的に行われます。

2022年3月31日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web製品のサポート期間に関するポリシーに従い、2022年3月30日をもってDr.Web Security Space for BlackBerry サポートを終了します。2020年にBlackBerryデバイスの製造が中止されたため、上記製品のサポートが終了となります。

弊社製品ラインアップにて、モバイルデバイス向け保護を希望される場合、多くのユーザーに信頼されているDr.Web Security Space for Androidの利用を是非ご検討ください。

2022年3月31日

株式会社Doctor Web Pacific

Doctor Webは、 Dr.Web Security Space 12.0、 Dr.Web Anti-virus 12.0、 Dr.Web Anti-virus 12.0 for Windows Server、 Dr.Web Enterprise Security Suite 12.0および13.0、 Dr.Web AV-Desk 13.0のDr.Web Anti-virusサブスクリプションサービスに含まれる Dr.Web Anti-rootkit API (12.6.18.202203291) をアップデートしました。今回のアップデートでは発見されたエラーが修整されました。

Dr.Web Anti-rootkit API では、予防的保護メカニズムに変更が追加され、誤検知を引き起こす原因が解消されました。

アップデートは自動的に行われます。

2022年3月29日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Security Space 12.0、 Dr.Web Anti-virus 12.0、 Dr.Web Anti-virus 12.0 for Windows Server、 Dr.Web Enterprise Security Suite 12.0および13.0、 Dr.Web AV-Desk 13.0 の Dr.Web Anti-virus サブスクリプションサービスに含まれる Dr.Web Anti-rootkit API (12.6.17.202203262) をアップデートしました。今回のアップデートにより改良が加えられました。

Dr.Web Anti-rootkit APIでは、暗号化ランサムウェアの検出機能が改良されました。

アップデートは自動的に行われます。

2022年3月29日

株式会社Doctor Web Pacific

Doctor Webは、ユーザーのメッセージに表示されたURLやファイルをスキャンする DrWebBot 2.1 for Telegram および DrWebBot 1.0 for VK をアップデートしました。今回のアップデートでは発見されたエラーが修正され、内部変更が加えられました。

DrWebBot for 2.1 for Telegram にてリンク検査にかかる時間の増加やコマンドへの反応が遅くなる問題が解決されました。

さらに、オブジェクト検査を行う主要なコンポーネント DrWebBot Checker がアップデートされました。

Dr.Web Bot for Telegram を使用するには、Telegramにおけるアカウント@DrWebBotを検索するか、直接 telegram.me/drwebbot にアクセスした後、ファイル又はリンクを送信すると、 Dr.Web Bot によりオンザフライでスキャンされ、その結果が表示されます。

DrWebBot for VKを使用するには、こちらのリンクをクリックしてください。表示されたページにコマンド/settingsを挿入すると、本ボットの言語（英語またはロシア語）やスキャン通知の種類を選択するための必要な設定を行えます。

2022年3月25日

株式会社Doctor Web Pacific

Dr.Webの統計によると、2022年1月に検出された脅威の合計数には前月と比較して24.8%の減少が認められ、ユニークな脅威の数も4.38%減少しています。検出された脅威の多くを依然としてアドウェアが占め、さまざまな種類のマルウェアとして拡散されました。メールトラフィック内では、ダウンローダ型トロイの木馬などの多様なマルウェアが最も多く拡散されています。

1月にDoctor Webテクニカルサポートサービスに寄せられた、ランサムウェアによって暗号化されたファイルの復号化リクエスト数は前月と比較して72.15%増加しています。最もアクティブな暗号化ランサムウェアは Trojan.Encoder.26996 で、リクエスト全体の三分の一近くを占めていました。

Doctor Webサーバーによる統計

1月に最も多く検出された脅威：

Adware.SweetLabs.5

「Opencandy」などのアドウェアの作成者による、Windows GUIの代替アプリケーションストアとアドオンです。

Adware.Downware.19998

Adware.Downware.19985

海賊版ソフトウェアのインストーラとして拡散されていることの多いアドウェアです。

Adware.OpenCandy.247

システムに他のソフトウェアをインストールするよう設計されたアプリケーションのファミリーです。

Trojan.AutoIt.961

AutoItスクリプト言語で記述され、マイニング型トロイの木馬やRATトロイの木馬の一部として拡散される悪意のあるユーティリティプログラムです。

メールトラフィック内で検出された脅威の統計

W97M.DownLoader.2938

Microsoft Officeドキュメントの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたコンピューターに別の悪意のあるプログラムをダウンロードするよう設計されています。

BackDoor.SpyBotNET.25

VB.NET言語で記述されたバックドアで、ファイルシステムを操作し（ディレクトリをコピー、作成、削除するなど）、プロセスを終了させ、スクリーンショットを撮ることができます。

HTML.FishForm.273

フィッシングメールを介して拡散される、有名なサイトを模倣した偽の認証ページです。ユーザーが入力した認証情報は攻撃者に送信されます。

Exploit.ShellCode.69

脆弱性CVE-2017-11882を悪用する、悪意のあるMicrosoft Office Wordドキュメントです。

Trojan.PackedNET.1156

パックされたマルウェアです。

暗号化ランサムウェア

2022年1月にDoctor Webテクニカルサポートサービスに寄せられた、ランサムウェアによって暗号化されたファイルの復号化リクエスト数には、2021年12月と比較して約72.15%の増加が認められました。

• Trojan.Encoder.26996 — 32.11%
• Trojan.Encoder.3953 — 12.55%
• Trojan.Encoder.567 — 7.75%
• Trojan.Encoder.11539 — 2.21%
• Trojan.Encoder.30356 — 1.48%

危険なWebサイト

2022年1月、Doctor Webのアナリストは大手の石油会社や銀行を装った投資詐欺サイトが増加していることを確認しました。これらのサイトは、ガスプロムバンクを通じて「夢を実現し」「収益を得る」よう提案しています。

上の画像は、プラットフォームにアクセスするためにテストを受けるようすすめるフィッシングサイトの一部です。

モバイルデバイスを脅かす悪意のあるプログラムや不要なプログラム

Android向けDr.Web アンチウイルス製品の検出統計によると、1月にAndroidデバイス上で最も多く検出された脅威はトロイの木馬 Android.Spy.4498 となっています。このトロイの木馬は他のアプリケーションの通知から情報を盗むほか、別のアプリケーションをダウンロードしたり、さまざまな内容のダイアログボックスを表示させることができます。アドウェア型トロイの木馬も引き続き多く検出されています。一方で、任意のコードをダウンロードして実行する機能を備えたトロイの木馬による攻撃は減少しています。

Google Playでは新たな脅威が検出されました。それらの中には Android.FakeApp ファミリーに属する偽アプリやユーザーを有料サービスに登録する Android.Subscription ファミリーに属するトロイの木馬、Facebookアカウントのハッキングに必要なデータを盗むトロイの木馬 Android.PWS.Facebookが含まれていました。

1月のモバイルセキュリティに関する注目すべきイベントは以下のとおりです。

• スパイウェア型トロイの木馬 Android.Spy.4498 が広く拡散される
• アドウェア型トロイの木馬の活動が依然として活発
• 任意のコードをダウンロードして実行するトロイの木馬の活動が減少
• Google Playに新たな悪意のあるアプリケーションが登場

モバイルデバイスを標的とする悪意のあるプログラムや不要なプログラムに関する詳細はこちらのレビューをご覧ください。

2022年3月25日

株式会社Doctor Web Pacific

2021年10月、Doctor Webはカザフスタンの通信事業者から、企業ネットワーク内にマルウェアが存在している疑いがあるという連絡を受けました。調査の結果、これまでも標的攻撃のみに使用されていたバックドアが発見され、さらに調査を進めていくうちに企業の内部サーバーは2019年から侵害されていたということが明らかになりました。数年に渡り攻撃に使用されていた主なツールはBackdoor. PlugX.93とBackDoor.Whitebird.30、Fast Reverse Proxy（FRP）ユーティリティ、RemComです。

ハッカー側のミスにより、Doctor Webは被害を受けた企業を特定し、使用されているバックドア管理ツールを明らかにすることに成功しました。得られた情報から、このハッカーグループはMicrosoft Exchangeがインストールされているアジア企業のメールサーバーに特化した攻撃を行っていると結論付けることができます。ただし、以下を含むその他の国の企業も標的となっています。

• エジプトの政府機関
• イタリアの空港
• 米国のマーケティング会社
• カナダの輸送および木材加工会社

C&Cサーバーから収集されたログには2021年8月から11月初旬の間に攻撃を受けた企業が含まれていました。一部のケースでは、Microsoft Exchangeが導入されているサーバーのみでなく、ドメインコントローラにも BackDoor.Whitebird.30 がインストールされています。使用されているツールや手法、インフラストラクチャから、Doctor Webでは、この攻撃の背後にはAPTハッカーグループ「Calypso」が存在するものと結論付けました。

Remote Rover

BackDoor.Whitebird.30 のC&CサーバーはRemote Rover（リモートローバー）を呼び出します。このRemote Roverにより、ハッカーがリモートでアプリケーションを起動したり、バックドアの設定を更新したり、ファイルをダウンロード・アップロードしたりすることが可能になります。また、Remote Rover経由でシェルコマンドを使用することもできます。C&Cサーバーのインターフェースは以下の画像のようになっています。

Remote Roverには次の内容の設定ファイルCFG\default.iniが付属しています。

この中国語のパスを英語にすると次のようになります。

使用されたマルウェアとその動作の詳細については、調査レポートのPDFバージョン(英語)またはDr.Webウイルスライブラリを参照してください。

• BackDoor.Siggen2.3622
• BackDoor.PlugX.93
• BackDoor.Whitebird.30
• Trojan.Loader.891
• Trojan.Loader.896
• Trojan.Uacbypass.21
• Trojan.DownLoader43.44599

結論

標的型攻撃に関する本調査では、Doctor Webのウイルスアナリストによって複数のバックドアとトロイの木馬が発見され詳細がまとめられました。ハッカーグループは2年以上前に通信事業者のネットワークに侵入しており、他の標的型攻撃インシデントと同様、今回も攻撃が長期間にわたって気付かれることがなかったという点は特筆に値します。

Doctor Webでは、ネットワークリソースの健全性を定期的にチェックし、ネットワーク内にマルウェアが潜んでいることを示唆する障害をタイムリーに解消するよう推奨しています。標的型攻撃がもたらす主な脅威の一つはデータの侵害ですが、それだけでなく侵入者が企業ネットワーク内に長期間存在し続けるという点も問題です。これにより、侵入者が何年にもわたって企業の動向を監視し、いつでも機密情報にアクセスすることが可能になります。社内ネットワーク内で悪意のあるアクティビティが疑われる場合は、Doctor Webのウイルスラボまでご連絡ください。高品質な支援をご提供いたします。Dr.Web FixIt!を使用することでサーバーやワークステーション上のマルウェアを検出することが可能です。迅速かつ適切な対抗措置を講じることで、標的型攻撃による被害を最小限に食い止め、深刻な結果を回避することができます。

Indicators of compromise（侵害の痕跡情報）

2022年3月25日

株式会社Doctor Web Pacific

Doctor Webは、2022年1月のウイルスレビューを公開しました。2022年1月には、2021年12月と比較して検出されたユニークな脅威の合計数が減少しています。最も多く検出された脅威の多くを引き続きアドウェアや不要なプログラムが占めていました。メールトラフィック内では、ダウンローダ型トロイの木馬が最も多く拡散されています。テクニカルサポートサービスに寄せられる、ランサムウェアによって暗号化されてしまったファイルの復号化リクエスト数は、前月と比較して約72.15%増加しています。詳細については1月のレビューをご覧ください。

ウイルスレビュー