2018年4月16日

株式会社Doctor Web Pacific

Doctor Webのスペシャリストによって、新たな暗号化トロイの木馬についての分析が行われました。このエンコーダによって暗号化されたファイルは、サイバー犯罪者によるエラーのため、多くの場合、復元することができません。

この新たな暗号化トロイの木馬は Trojan.Encoder.25129 と名付けられました。Dr.Webアンチウイルスの予防的保護は、このトロイの木馬を自動的に DPH:Trojan.Encoder.9 として検出します。起動されると、 Trojan.Encoder.25129 は感染したデバイスのIPアドレスに基づいてユーザーの所在地を確認します。このトロイの木馬は、デバイスがロシア、ベラルーシ、カザフスタンにある場合、またはシステムの言語や地域の設定でロシア語やロシアが設定されている場合にはファイルを暗号化しないよう設計されています。しかしながら、コードのエラーにより、このエンコーダーはIPアドレスの所在地に関係なくすべてのファイルを暗号化します。

Trojan.Encoder.25129 はカレントユーザーのフォルダ、 Windows デスクトップ、 AppDataおよび LocalAppData システムフォルダのコンテンツを暗号化します。暗号化は AES-256-CBC アルゴリズムを使用して行われ、暗号化されたファイルには拡張子「.tron」が付きます。 30,000,000バイト(約28.6MB)を超えるファイルは暗号化されません。暗号化が完了すると、 %ProgramData%\\trig ファイルが作成され、そこに「123」の値が書き込まれます(このファイルがすでに存在している場合、暗号化は行われません)。次に、トロイの木馬はWebサイト iplogger にリクエストを送信します。サイトのアドレスはトロイの木馬本体にハードコードされています。続けて、 Trojan.Encoder.25129 は身代金を要求するウィンドウを表示させます。

身代金の要求額は0.007305～0.04ビットコインと、異なります。「HOW TO BUY BITCOIN」ボタンをクリックすると、仮想通貨ビットコインを購入する方法について説明するウィンドウがトロイの木馬によって表示されます。

身代金を要求するテキストには、被害者は暗号化されたファイルを復元することができると記載されていますが、コードのエラーにより、多くの場合、復元することは不可能です。

このトロイの木馬は、Dr.Web製品の予防的保護によって検出・削除されます。したがって、Dr.Webユーザーに危害が及ぶことはありません。また、Doctor Webでは、重要なデータのバックアップをタイムリーに取ることをお勧めしています。

Trojan.Encoder.25129の詳細

2018年4月16日

株式会社Doctor Web Pacific

Doctor Webのウイルスアナリストは、Google Play上でトロイの木馬 Android.Click.245.origin を検出しました。このトロイの木馬は犯罪者の指示に従ってWebサイトを読み込み、そこでユーザーを騙して有料コンテンツサービスに登録させます。ユーザーが偽の「プログラムをダウンロード」ボタンをクリックすると自動的に登録が行われる場合もあります。

サイバー犯罪者は開発者Roman Zencovを名乗り、人気のアプリケーションを装って Android.Click.245.origin を配布していました。それらの中には、まだAndroid版のリリースされていないゲームMiraculous Ladybug & Cat Noir、春先に有名になった、電話を発信し電話番号を保存するアプリGetContact、Yandexアプリケーションに組み込まれていて個別のアプリとしては提供されていない音声AIアシスタントAliceなどがあります。トロイの木馬を含んだプログラムの1つは、Google Play上の新しい人気アプリ上位30にランクインしています。

Doctor Webは Android.Click.245.origin についてGoogle社に報告を行い、このトロイの木馬はGoogle Playから削除されましたが、2万を超えるユーザーが偽のアプリケーションをダウンロードしています。これらのプログラムはいずれもユーザーの期待する機能を持っていません。その唯一の目的はサイバー犯罪者のコマンドに従ってWebページを読み込むということです。

以下の画像は、Google Play上で発見された悪意のあるアプリケーションのページです。

起動されると、 Android.Click.245.origin はC&Cサーバーとの接続を確立し、サーバーからのタスクを待ちます。次に、感染させたデバイスのIPアドレスに応じて、読み込むべき特定のWebサイトへのリンクを取得します。 Android.Click.245.origin はこのリンクを辿り、WebViewを使用して特定のページを表示させます。デバイスがWi-Fi経由でインターネットに接続している場合、ユーザーは該当するボタンをクリックすることでアプリケーションをダウンロードするよう促されます。例えば、ユーザーが偽の音声AIアシスタントAliceを起動した場合、ダウンロードされるのは「Alice Yandex.apk」ファイルです。

ユーザーがファイルをダウンロードしようとすると、認証目的やダウンロードを確定するためという名目で、電話番号を入力するよう求められます。電話番号を入力したユーザーは、「ダウンロード」を完了するためにWebサイト上で入力しなくてはならない確認コードを受け取ります。ところが、ユーザーは目的のプログラムを入手する代わりに有料サービスに登録されてしまいます。

感染させたデバイスがモバイル通信経由でインターネットに接続している場合、トロイの木馬によって開かれたWebサイトはいくつかのリダイレクトを行い、その後、Google ChromeでWebサイトが表示されます。このページで、ユーザーは「Continue（続ける）」をクリックしてファイルをダウンロードするよう促され、ダウンロードが開始される別のサイトへとリダイレクトされます。「Start download（ダウロードを開始する）」をクリックしたユーザーは、 Wap-Clickテクノロジーを使用して高額なサービスに自動的に登録され、毎日使用料が引き落とされることになります。また、そのようなサービスへは、電話番号やSMSで受け取る確認コードの入力無しにアクセスすることができます。

タスクを受け取らなかった場合、トロイの木馬はインターネットから複数の写真をダウンロードし、それらを画面上に表示させます。

不要なサービスにユーザーを登録させる方法は、サイバー犯罪者にとって最も一般的かつ良く知られた不正な収益源となっています。中でも特に、Wap-Clickを使用したそのような高額サービスへの登録は、登録についてユーザーに知らせることがなく、悪徳なコンテンツプロバイダによって使用されることが多いことから、非常に危険です。

お金を失うことを防ぐため、スマートフォンやタブレットのユーザーはWebサイトを閲覧する際は慎重になり、疑わしいリンクやボタンをクリックしないようにしてください。また、良く知られた信頼できる開発者によって配信されているソフトウェアのみをインストールするようにし、アンチウイルスを使用することをお勧めします。

Dr.Web for Androidは Android.Click.245.origin の既知の亜種をすべて検出します。したがって、Dr.Webのユーザーに危害が及ぶことはありません。

Android.Click.245.originの詳細

2018年4月5日

株式会社Doctor Web Pacific

Doctor Webのウイルスアナリストによって、 Sberbank(ロシア貯蓄銀行)の顧客を標的とした Android.BankBot.358.origin の拡散が確認されました。この悪意のあるプログラムはバンクカードの情報を盗み、口座から出金し、感染したデバイスをロックして身代金を要求します。 Android.BankBot.358.origin によって、7,800万ルーブルを超える損失が発生する可能性があります。

この Android.BankBot.358.origin は2015年よりDoctor Webに知られています。ウイルスアナリストは、 Sberbankのロシアの顧客を攻撃するよう設計された Android.BankBot.358.origin の新たな亜種が、すでに6万をこえるモバイルデバイスを感染させているものと見ています。ウイルス作成者はこの悪意のあるアプリケーションの複数の異なるバージョンを拡散させていることから、その被害者の数は大幅に増加する可能性があります。サイバー犯罪者が感染したデバイスの銀行口座から盗むことのできる総額は7,800万ルーブルを超えます。さらに、サイバー犯罪者は携帯電話のアカウントから270万ルーブルを盗むことができます。

以下の画像は、感染したデバイスに関する情報と検出されたボットネットの1つに関する統計を含んだ Android.BankBot.358.origin の管理パネルのセクションです。

このバンキング型トロイの木馬は、サイバー犯罪者および悪意のあるプログラム自体の両方から送信される偽のSMSメッセージ経由で拡散されています。メッセージの多くは Avito.ru ユーザーからのものを装って送信されています。これらのSMSメッセージは、ユーザーに対し、リンクを辿り、投稿した広告に対するレスポンスを読むよう提案するものです。例えば、「Good day, are you interested in an exchange? (こんにちは、取引しませんか？)」という文章が多く使用されています。また、モバイルデバイスユーザーは、ローンやモバイル送金、銀行口座への送金に関する偽の通知を受け取る場合もあります。以下は、トロイの木馬のサーバーの管理パネルで設定され、サイバー犯罪者のコマンドに応じて送信されたフィッシングメッセージの例です。

ユーザーがメッセージのリンクを辿ると、サイバー犯罪者のWebサイトに飛ばされ、そこからモバイルデバイス上に悪意のあるAPKファイルがダウンロードされます。ダウンロード後にトロイの木馬がインストールされる可能性を向上させるため、サイバー犯罪者は Android.BankBot.358.origin に実際のAvitoラベルを使用することで信憑性を高めています。このトロイの木馬の一部の亜種は、Visaやウエスタンユニオン決済システムを使用するためのソフトウェアなどの他のプログラムとして拡散される場合があります。

Android.BankBot.358.origin は初回起動時にデバイス管理者権限へのアクセスを要求します。この要求は、ユーザーが諦めて求められるすべての権限を許可するまでしつこく続けられます。必要なすべての特権を取得した後、トロイの木馬はインストールエラーに関する偽のメッセージを表示し、ホーム画面上のプログラムのリストから自身のアイコンを削除します。こうして Android.BankBot.358.origin はスマートフォンやタブレット上で自身の存在を隠そうと試みます。ユーザーが管理者のリストからトロイの木馬を削除しようとすると、 Android.BankBot.358.origin はセルフプロテクション機能を有効にし、システム設定の該当するウィンドウを閉じます。また、トロイの木馬の一部のバージョンは、独自のロック画面PINコードを追加でインストールします。

デバイスを感染させた後、 Android.BankBot.358.origin はC&Cサーバーとの接続を確立し、感染が成功した旨を通知して、その後の指示を待ちます。このトロイの木馬の主な目的はロシア語圏の Sberbankの顧客から金銭を盗むことで、その主要な攻撃ベクターはフィッシングです。サイバー犯罪者は、偽のメッセージを含むウィンドウで感染したデバイスをブロックするためのコマンドをトロイの木馬に対して送信します。このウィンドウは、リモートバンキングならびに決済システムである Sberbank Onlineの外観を模倣し、 Sberbankやその他の金融機関の顧客であるかどうかに関係なく、すべてのユーザーに対して表示されます。メッセージの内容は、1万ルーブルの送金を受け取ることができると通知するものとなっています。お金を受け取るために、スマートフォンまたはタブレットのユーザーは、カード番号、名前、有効期限、CVVセキュリティコードなどのバンクカード情報を提供するよう促されます。さらに、この悪意のあるウィンドウは必要なすべてのデータを入力しない限り閉じることができず、デバイスはブロックされたままになります。そのため、ユーザーは「銀行口座への送金」を確定しなければならず、入力されたバンクカード情報はサイバー犯罪者に送信されます。その結果、犯罪者は被害者の銀行口座からすべての金銭を盗むことができるようになります。

ただし、本記事掲載時点において、このトロイの木馬の既存の亜種はバンクカード情報について完全なチェックを行っておらず、どのようなデータを入力してもブロックは解除されます。したがって、 Android.BankBot.358.origin の攻撃を受けたモバイルデバイスユーザーはフィッシングウィンドウを閉じ、アンチウイルスを使用してこの悪意のあるプログラムを削除することができます。その方法は、偽のフォームに16～18桁からなる任意のカード番号を入力し、2017年～2030年の間の有効期限を指定するというものです。絶対に、実際の Sberbankまたはその他のカードの情報を入力しないようにしてください。サイバー犯罪者が口座へのアクセスを取得してしまいます。

しかしながら、偽の情報が入力されたと気付いたウイルス作成者がスマートフォンやタブレットを再度ブロックするためのコマンドを送信することを防ぐことはできません。そのため、フィッシングウィンドウが閉じた後に、できるだけ早くアンチウイルスを使用してデバイスをスキャンし、トロイの木馬を削除する必要があります(ダウンロードはこちらから : https://download.drweb.co.jp/android/)。

ユーザーがモバイルバンキングサービスを使用している場合、 Android.BankBot.358.origin はそれを使用して被害者の口座から金銭を盗もうとします。トロイの木馬は、オンラインバンキングシステムで動作を実行するためのコマンドを含んだSMSメッセージを密かに送信します。その後、ユーザーの現在のカード残高を確認し、サイバー犯罪者の銀行口座またはモバイルアカウントに自動的に送金を行います。以下の画像は、リモートバンキングサービスを利用して金銭を盗む Android.BankBot.358.origin の例です。

さらなる収益を得るために、 Android.BankBot.358.origin の一部のバージョンでは、禁止されている動画を見たことに対する罰金を要求するメッセージを表示させることで、感染したデバイスをブロックすることができます。また、その悪意のある動作を隠すため、このトロイの木馬の複数の亜種は、システムアップデートのインストールに関する通知によって、感染したスマートフォンやタブレットの画面をブロックすることができます。

ウイルス作成者は、C&Cサーバーの管理パネルでウィンドウブロックのパラメータ(表示されるメッセージのテキスト、表示期間、および必要な身代金など)を設定することができます。以下は、コントロールパネルの該当するセクションの例です。

金銭を盗んだり、感染したデバイスをブロックする以外に、 Android.BankBot.358.origin は他の悪意のある動作も実行することができます。 Android.BankBot.358.origin はサイバーから受け取ったコマンドに応じて以下の動作を実行します。

• 自身を更新する
• 連絡先リストに含まれたすべての番号に対してSMSメッセージを送信する
• コマンド内で指定されたすべての番号に対してSMSメッセージを送信する
• サイバー犯罪者によって指定されたWebサイトを読み込む
• デバイス上に保存されたすべてのSMSメッセージをサーバーに送信する
• 連絡先リスト内の連絡先に関する情報を取得する
• 偽の受信SMSメッセージを作成する

Dr.Web for Androidは Android.BankBot.358.origin のすべての既知の亜種を検出します。そのため、Dr.Webユーザーに危害が及ぶことはありません。Doctor Webでは、 Android.BankBot.358.origin に関する情報をすでに Sberbankに提供しています。また、このトロイの木馬について引き続き監視を行っていきます。

Android.BankBot.358.originの詳細

#Android #banker #mobile #ransom #banking_Trojan

QRコードを使用してDr.Web Security Space for Androidをダウンロード

2018年3月23日

株式会社Doctor Web Pacific

Doctor Webでは、感染したデバイスからファイルや機密情報を盗むよう設計された危険なトロイの木馬の拡散について、ユーザーに注意を呼び掛けています。それらのデータを利用することで、サイバー犯罪者はソーシャルネットワークサイトやその他のオンラインサービス上のユーザーのアカウントにアクセスすることができます。

Trojan.PWS.Stealer.23012 は、Microsoft Windows搭載コンピューターを感染させる、Pythonで書かれた悪意のあるプログラムです。このトロイの木馬の拡散は2018年3月23日に始まり、現在も続いています。サイバー犯罪者は悪意のあるプログラムへのリンクをYouTube動画に対するコメント内で公開しています。それら動画の多くは、特別なアプリケーションを使用した、ゲームでのチーティング方法 (いわゆる「チート行為」) に焦点を当てたものです。サイバー犯罪者はトロイの木馬をそのようなプログラムや便利なユーティリティとして拡散させようとしています。リンク先はYandex.Diskサーバーで、ユーザーにリンクをクリックさせるために、動画には偽のカウントを使用して書かれたコメントが含まれています。被害者がリンクをクリックしてしまうと、トロイの木馬を含んだ自己解凍形式のRARアーカイブがコンピューター上にダウンロードされます。

動画のコメントセクションに投稿された、悪意のあるファイルへのリンクの例

感染したコンピューター上で起動されると、 Trojan.PWS.Stealer.23012 は以下の情報を収集します。

• Vivaldi、 Chrome、 YandexBrowser、 Opera、 Kometa、 Orbitum、 Dragon、 Amigo、 Torchブラウザに保存されたCookie
• それらのブラウザに保存されたログイン／パスワード
• スクリーンショット

また、Windowsデスクトップから「.txt」、「.pdf」、「.jpg」、「.png」、「.xls」、「.doc」、「.docx」、「.sqlite」、「.db」、「.sqlite3」、「.bak」、「.sql」、「.xml」拡張子を持つファイルをコピーします。

Trojan.PWS.Stealer.23012 は、収集したすべての情報を C:/PG148892HQ8 フォルダに保存します。その後、すべてのデータが spam.zip アーカイブにパックされ、感染したデバイスの位置情報に関するデータと一緒にサイバー犯罪者のサーバーに送信されます。

Doctor Webのウイルスアナリストによって、このトロイの木馬の複数の亜種が発見されており、それらの一部は Trojan.PWS.Stealer.23198 として検出されます。Dr.Webアンチウイルス製品は Trojan.PWS.Stealer.23012 のすべての既知の亜種を検出することができます。そのため、Dr.Webユーザーに危害が及ぶことはありません。

Trojan.PWS.Stealer.23012の詳細

2018年3月20日

株式会社Doctor Web Pacific

2016年の1月、Doctor Webはトロイの木馬 Android.BankBot.149.origin を発見しました。このバンキング型トロイの木馬のソースコードが犯罪者によって公開された後、それを基にした新たな亜種がウイルス作成者の手により数多く作成され、現在も勢いよく進化し続けています。それらの中には、仮想通貨を使用するためのアプリケーションのユーザー名とパスワードを盗み、ユーザーをスパイする、多機能な悪意のあるプログラムへと変化を遂げたものもあります。

Android.BankBot.149.origin は典型的な一連の機能を持つバンキング型トロイの木馬として登場しました。様々な金融機関のオンラインバンキングシステムから口座のユーザー名とパスワードを盗むためのフィッシングウィンドウを表示させるほか、クレジットカードの情報を盗むことができ、また、送金確認のワンタイムパスワードにアクセスするために受信するSMSを横取りする機能を備えていました。このトロイの木馬のソースコードが一般に公開されると、ウイルス作成者たちはそれを基に、似たようなトロイの木馬を多数作成するようになりました。それと同時に、犯罪者がそれらトロイの木馬をGoogle Playから次々に拡散させました。そのようなバンキング型トロイの木馬には、無害で便利なアプリケーションを装って拡散されていた Android.BankBot.179.origin、 Android.BankBot.160.origin、 Android.BankBot.163.origin、 Android.BankBot.193.origin、 Android.Banker.202.originなどがあります。

Android.BankBot.250.origin としてDr.Webウイルスデータベースに追加されているトロイの木馬もまた、 Android.BankBot.149.origin のコードを使用して作成されたまた別のトロイの木馬です。Anubisとしても知られるこのトロイの木馬の最初のバージョンは2017年11月にDoctor Webのウイルスアナリストによって発見されました。これらの亜種は Android.BankBot.149.origin の機能をほぼ完ぺきにコピーしています。このバンキング型トロイの木馬は以下の動作を実行することができます：

• コマンドで指定された番号に対して、特定のテキストを含んだSMSメッセージを送信する
• USSDリクエストを実行する
• デバイス上に保存されたSMSメッセージのコピーを管理サーバーに送信する
• インストールされているアプリケーションに関する情報を受け取る
• コマンドで指定されたテキストを含むダイアログボックスを表示させる
• 追加の動作許可を要求する
• コマンドで指定された内容のプッシュ通知を表示させる
• トロイの木馬のコード内で設定されている内容のプッシュ通知を表示させる
• サーバーWebページから受け取ったコンテンツを表示させるデバイスウィンドウWebViewの画面をブロックする
• 連絡先リストにあるすべての番号をサーバーに送信する
• 連絡先リストにあるすべての番号に対してSMSメッセージを送信する
• デバイスとその現在位置に関する情報にアクセスする
• アクセシビリティ機能 (Accessibility Service) へのアクセスを要求する
• 感染させたスマートフォンやタブレットのIPアドレスを取得する
• 自身の設定ファイルをクリーンアップし、動作を停止する

以下の画像は、トロイの木馬 Android.BankBot.250.origin のコントロールパネルの一例です。

Android.BankBot.250.origin の新しいバージョンの登場に伴い、その機能は次第に拡張されていきました。 Android.BankBot.325.origin と名付けられたトロイの木馬には、感染したデバイスにリモートでアクセスする機能が備わっています。その結果、このバンキング型トロイの木馬はリモート管理ユーティリティまたはRAT (Remote Administration Tools：リモート管理ツール) として動作することができます。また、感染したスマートフォンやタブレットのメモリ内に保存されたファイルのリストを確認し、それらのファイルを管理サーバーにダウンロードしたり削除したりすることができるという機能のほか、画面上で起こっているすべてのことを監視し、スクリーンショットを作成してそれらを犯罪者に送信するという新たな機能が加わっています。さらに、 Android.BankBot.325.origin はウイルス作成者のコマンドに応じて内蔵マイクで周囲の音声を聞くことができます。そのため、サイバースパイ行為に使用される可能性があります。以下の画像は、トロイの木馬の管理サーバーの管理パネルのセクションです。このセクションで、犯罪者はトロイの木馬にコマンドを与えることができます。

バンキング型トロイの木馬の分析結果により、ウイルス作成者は、デスクトップシステムへのリモートアクセスシステムを表し、Virtual Network Computing (ヴァーチャル・ネットワーク・コンピューティング) の略語である「VNC」をメソッド名とコントロールコマンド内で使用しているということが示されていました。ところが、これは Android.BankBot.325.origin では導入されておらず、犯罪者はその名前を自分たちの便宜のためのみに使用しています。いずれにしても、サイバー犯罪者は感染したデバイスを遠隔操作する能力を身につけ始め、バンキング型トロイの木馬をより普遍的な悪意のあるアプリケーションへと変化させていると結論付けることができます。以下の画像は Android.BankBot.325.origin のコード片です。前述の略語が使用されています。

Doctor Webのウイルスアナリストによって調査された Android.BankBot.325.origin の最新の亜種の1つには、さらなる機能が追加されていました。以下は、そのリストです。

• コマンドで指定された番号に対して、特定のテキストを含んだSMSメッセージを送信する
• USSDリクエストを実行する
• アプリケーションを起動させる
• 管理サーバーのアドレスを変更する
• デバイス上に保存されたSMSメッセージのコピーを管理サーバーに送信する
• インストールされているアプリケーションに関する情報を受け取る
• キーボードで入力された文字を記録する (キーロガー)
• 追加の動作許可を要求する
• コマンドで指定されたテキストを含むダイアログボックスを表示させる
• コマンドで指定された内容のプッシュ通知を表示させる
• トロイの木馬のコード内で設定されている内容のプッシュ通知を表示させる
• 連絡先リストにあるすべての番号をサーバーに送信する
• 連絡先リストにあるすべての番号に対してSMSメッセージを送信する
• サーバーWebページから受け取ったコンテンツを表示させるデバイスウィンドウWebViewの画面をブロックする
• アクセシビリティ機能 (Accessibility Service) へのアクセスを要求する
• 通話をリダイレクトする
• コマンドで指定されたWebサイトをブラウザで開く
• WebViewを使用してWebページへのリンクを開く
• ファイルを暗号化して身代金を要求する
• ファイルを復号化する
• デバイスのマイクを使用して周囲の音声を録音する
• デバイスとその現在位置に関する情報にアクセスする
• デバイスのIPアドレスを取得する
• 設定ファイルをクリーンアップし、トロイの木馬を停止させる

以下の画像は、犯罪者が管理パネルを介してバンキング型トロイの木馬に送信することのできるコマンドの一覧を示しています。

バンキング型トロイの木馬に対して送信されるコマンドのほとんどは同じパネル内で設定されます。たとえば、以下の画像はファイルの暗号化設定のものですが、ウイルス作成者は暗号化キー、 Android.BankBot.325.origin が被害者から要求する身代金の金額 (例：ビットコインで) 、送金のための e-wallet (イーウォレット) 番号を設定することができます。

同じパネル内で、サイバー犯罪者が必要とするアプリケーションをユーザーに起動させるための偽の通知を設定することができます。そのアプリケーションが起動されると、トロイの木馬はログインとパスワード、およびその他の機密情報を要求するフィッシングフォームを表示させ、それらの情報をウイルス作成者に送信します。

同様に、フィッシングウィンドウも追加のパラメータで設定されます。

Android.BankBot.325.origin は、バンキングサービス、決済システム、ソーシャルネットワークにアクセスするためのソフトウェアを含む、160を超えるプログラムの起動時に偽の認証フォームを表示させます。さらに、それらのプログラムには、仮想通貨を扱うための人気のアプリケーションが追加されています。 Android.BankBot.325.origin は、そのようなプログラムからログインとパスワードを盗もうと試みる最初のバンキング型トロイの木馬ではありませんが、本物のアプリケーションのインターフェースに似せたフィッシングウィンドウの外観を持っています。以下の画像は、そのような偽の認証フォームの例です。

ウイルスアナリストによると、ロシア、ウクライナ、トルコ、英国、ドイツ、フランス、米国、香港、ハンガリー、イスラエル、日本、ニュージーランド、ポーランド、ルーマニアのユーザーがこのトロイの木馬による攻撃を受けています。ただし、このリストには、サイバー犯罪者が興味を示した国が新たに加わっていく可能性があります。

Doctor Webのスペシャリストは、 Android.BankBot.325.origin の作成者は引き続きこのトロイの木馬の機能を向上させ続け、感染したスマートフォンやタブレットの遠隔操作に新たな機能を追加していくものと予測しています。新たなスパイ機能が追加される可能性があります。Dr.WebのAndroid向けアンチウイルス製品は、この悪意のあるアプリケーションのすべての既知の亜種を検出します。したがって、Dr.Webユーザーに危害が及ぶことはありません。

Android.BankBot.325.originの詳細

2018年3月13日

株式会社Doctor Web Pacific

Doctor Webのスペシャリストによって、Google Play上で新たなAndroid向けトロイの木馬が発見されました。このトロイの木馬は人気のアプリを装って拡散されていました。これらの偽アプリはサイバー犯罪者のコマンドに応じてあらゆるWebページを読み込み、表示させることができます。この機能はフィッシング攻撃に使用することができます。

検出されたプログラムは、人気アプリケーションと同じ名前、そしてそっくりなアイコンを持っています。Doctor Webのセキュリティリサーチャーによって、偽のQIWIアプリケーション(ロシアの決済サービスプロバイダ)、 Sberbank Online、 Odnoklassniki およびVK(人気のソーシャルネットワーク)、 NTV(ロシアのテレビチャンネル)が見つかっています。以下の画像では、サイバー犯罪者がどのように被害者を騙すのかが分かります。左の画像は、Google Play上で簡単に見つけることのできる偽アプリケーションのページです。そして右の画像は本物のアプリケーションのページです。

偽のアプリケーションは起動される度にC&Cサーバーに接続し、サーバーは「none」パラメータで応答するか、またはサイバー犯罪者によって指定されたWebリンクを送信します。パラメータを受信すると、悪意のあるプログラムはリソースから複数の画像を抽出してユーザーに対して表示します。Webリンクを受信した場合はWebページを読み込み、表示させます。このページはWebViewを介してアプリケーション内で直接開かれます。ユーザーには、ターゲットとなるインターネットアドレスへのリンクは表示されません。表示されるWebページのコンテンツはさまざまです。例えば、スマートフォンユーザーに対しては、オンラインバンキングシステムやソーシャルネットワークの偽のログインフォームが表示されます。その上、Androidスマートフォンやタブレットのユーザーは、フィッシング攻撃を受ける危険性があります。この機能は深刻な脅威となることから、当該ソフトウェアは Android.Click.415 としてDr.Webウイルスデータベースに追加されました。

上記トロイの木馬の他に、70を超える同じようなプログラムがDoctor Webセキュリティリサーチャーによって発見されており、27万人以上のユーザーがそれらをダウンロードしています。それらのアプリケーションには、偽のゲーム、レシピコレクション、編み物マニュアルなどがあり、その一部には謳われた機能を実際に実行するものもあります。しかしながら、 Android.Click.415 と同様にC&CサーバーからあらゆるWebページのリンクを受け取ることもでき、それらのWebページを読み込み、ユーザーに対して表示させる機能を備えています。これらのプログラムもまた、 Android.Click.416 および Android.Click.417 としてウイルスデータベースに追加されました。また、悪意のあるアプリケーションのさまざまな亜種が、動作中にモバイルデバイスの画面上に常に広告を表示させます。

Tezov apps、 Aydarapps、 Chmstudio、 SVNGamesの少なくとも4つのソフトウェアデベロッパーがトロイの木馬を拡散しています。Doctor Webでは、検出されたすべての悪意のあるアプリケーションについてGoogle社に報告しましたが、本記事掲載時点で、アプリケーションは未だダウンロード可能な状態となっています。

Doctor Webでは、たとえGoogle Playのような信頼できるソースからアプリケーションをインストールする場合であっても、ソフトウェアデベロッパーの名前に注意を払う必要があるということにユーザーの注意を喚起しています。サイバー犯罪者は、アプリの外観をコピーし、似たような名前を使用することで、ソフトウェア配信サービスで簡単に見つけることのできる偽のアプリをユーザーにインストールさせることができます。Dr.WebのAndroid向けアンチウイルス製品は Android.Click.415 、 Android.Click.416 、 Android.Click.417 のすべての既知の亜種を検出・削除することができます。したがって、Dr.Webユーザーに危害が及ぶことはありません。

• Android.Click.415の詳細
• Android.Click.416の詳細
• Android.Click.417の詳細

2018年3月6日

株式会社Doctor Web Pacific

Doctor Webのウイルスアナリストは、既知のトロイの木馬ファミリーである Trojan.LoadMoney に属する複数のトロイの木馬について調査を行いました。これらトロイの木馬は感染させたコンピューター上に他の危険なアプリケーションをダウンロードすることができます。

Trojan.LoadMoney トロイの木馬ファミリーは2013年より知られており、その新たな亜種が定期的に出現しています。そのようなトロイの木馬の1つが Trojan.LoadMoney.3209 です。このトロイの木馬には、他のマルウェアをダウンロード・起動するために使用される2つのインターネットアドレスが含まれています。調査を実行した時点で、このトロイの木馬は両方のアドレスから同様に暗号化されたファイルをダウンロードし、それをランダムな名前で一時フォルダに保存していました。さらに、このファイルは削除された後でメモリ内にロードされ、再びランダムな名前で一時フォルダに保存されます。最後に、この実行ファイルがメモリ内に読み込まれ、起動されます。元のファイルは削除されます。

Trojan.LoadMoney.3209 によってダウンロードされるファイルの1つは Trojan.LoadMoney.3558 として検出されます。この Trojan.LoadMoney.3558 は、メインとなってシステムを感染させる、より複雑な悪意のあるプログラムです。ファイルをダウンロードするために、無料で配信されているユーティリティcURLを使用しますが、このユーティリティは、異なる複数のプロトコルを使用することでインターネット上にある複数のサーバーと同時にやり取りすることを可能にします。このトロイの木馬はそれらを復号化し、ディスクに保存します。感染させたコンピューター上にcURLを使用してファイルをダウンロードするために、 Trojan.LoadMoney.3558 はWindowsタスクスケジューラを利用します。このトロイの木馬にはインターネットリソースの暗号化されたアドレスが4つ含まれており、そのうちの1つはcURLユーティリティと動作するために使用され、その他のアドレスは Trojan.LoadMoney.3263 と名付けられた実行ファイルをダウンロードするために使用されます。 Trojan.LoadMoney.3263 はユーザーに気付かれることなく密かに起動され、その起動時には、元のファイル Trojan.LoadMoney.3263 が削除されます。

ダウンロード後、トロイの木馬は実行ファイルを抽出し、そのヘッダを復元して一時フォルダに保存した後、実行ファイルを起動させます。ファイルはDr.Webによって Trojan.Siggen7.35395 として検出されます。ウイルス開発者は悪意のあるコードに視覚的な特徴を与えていないため、上記トロイの木馬はいずれも感染したシステム内で姿を現しません。そのため、その悪意のある活動を検出することは困難です。

Doctor Webでは、この悪意のあるプログラムのファミリーと危険なファイルについて引き続き調査を行い、新たな情報が明らかになり次第、報告させていただきます。Dr.Webのアンチウイルス製品は Trojan.LoadMoney ファミリーのすべての既知の亜種からの保護を提供します。したがって、Dr.Webユーザーに危害が及ぶことはありません。

Trojan.LoadMoney.3209の詳細

2018年3月5日

株式会社Doctor Web Pacific

Doctor Webのウイルスアナリストは、様々な金融機関のオンラインバンキングサービスにアクセスするためのバンキングアプリケーションを装って拡散されているトロイの木馬をGoogle Play上で発見しました。この悪意のあるアプリケーションはロシアのユーザーからログイン認証情報やその他の機密情報を盗むよう設計されています。

Android.BankBot.344.origin と名付けられたこのトロイの木馬は「VSEBANKI – Vse banki v odnom meste（ALLBANKS – すべての銀行を一か所に）」と呼ばれるアプリケーションに隠されていました。サイバー犯罪者は2月25日にアプリケーションをGoogle Play上にアップロードし、500人近いモバイルユーザーが実際にアプリをダウロードしています。さらに、犯罪者は「ラッキーな」ユーザーに代わってわざわざ偽のレビューまで投稿しています。Doctor Webのスペシャリストはこのトロイの木馬についてGoogle社に報告を行い、その後直ちにトロイの木馬はGoogle Playから削除されました。

バンキングアプリケーションを装ってGoogle Playから拡散されたトロイの木馬のデザイン

Android.BankBot.344.origin は、同じくGoogle Playから拡散され、2月に発見された悪意のあるプログラム Android.BankBot.336.origin の亜種です。以前のバージョンと同様、様々な金融機関のオンラインサービスへのアクセスを提供するアプリケーションを装って拡散されていますが、ウクライナのユーザーを標的としていた以前のバージョンと異なり、 Android.BankBot.344.origin はロシアの銀行の利用者を攻撃するよう設計されています。実際には、アプリケーションには提供されるはずの機能は備わっていません。

アプリケーションを使用してユーザーがオンラインアカウントにアクセスすることができるとされるロシアの銀行のリスト

Android.BankBot.344.origin はユーザーに対し、ログインとパスワードを使用して既存のモバイルバンキングアカウントにログインするよう、またはクレジットカードの情報を入力するよう促します。ユーザーがデータを入力してしまうと、それらがサイバー犯罪者に送信されます。その結果、犯罪者はユーザーから金銭を盗むことが可能になります。以前のバージョンと同様、 Android.BankBot.344.origin は受信するSMSメッセージを横取りすることができます。

フィッシング入力フォームの例。金融機関のオンラインバンキングにアクセスするためにログイン認証情報を求められる。

フィッシング入力フォームの例。ユーザーはログインし、クレジットカード情報を入力するよう促される。

Doctor Webでは、オンラインバンキングシステムを使用する際は金融機関の公式アプリケーションのみをインストールするよう推奨しています。Dr.Web for Androidは Android.BankBot.344.origin の既知の亜種をすべて検出します。そのため、Dr.Webユーザーに危害が及ぶことはありません。

Android.BankBot.344.originの詳細

2018年3月1日

株式会社Doctor Web Pacific

2017年の中頃、Doctor Webのアナリストは一部の安価なモデルのAndroidデバイスのファームウェア内で新たなトロイの木馬 Android.Triada.231 を発見しました。それ以降、感染するデバイスの数は絶えず増加し続け、現時点で、そのリストには40を超えるモデルが含まれています。Doctor Webのスペシャリストはこのトロイの木馬について監視を続けてきました。この記事ではその結果を公表します。

Android.Triada.231 は、危険なAndroid.Triadaトロイの木馬の1つです。これらトロイの木馬は重要なシステムコンポーネントであるZygoteのプロセスを感染させます。このプロセスはあらゆるアプリケーションの起動に使用されるものです。モジュール内に挿入されたトロイの木馬は、実行中の他のアプリケーションに侵入します。これにより、ユーザーの介入なしに様々な悪意のある動作を実行(アプリケーションを密かにダウンロード・起動する)することが可能になります。 Android.Triada.231 の主な特徴は、 libandroid_runtime.so システムライブラリ内に埋め込まれているという点にあります。このトロイの木馬は個別のプログラムとして拡散されるのではなく、製造過程でデバイスのファームウェア内に侵入します。ユーザーが購入するとき、デバイスは既に感染していることになります。

昨年の夏、 Android.Triada.231 を検出したDoctor Webのセキュリティリサーチャーは、感染したデバイスを製造しているメーカーに対して報告を行いました。しかしながら、新しいスマートフォンのモデルは依然としてこのトロイの木馬に感染し続けています。たとえば、2017年12月に発売されたLeagoo M9スマートフォンでの検出があげられます。その上、Doctor Webアナリストの調査によると、このスマートフォンのファームウェアへのトロイの木馬の埋め込みは、Leagooのパートナーである上海のソフトウェアデベロッパーからの要求に応じて行われたものであるということが示されています。この企業は、モバイルOSのイメージ内に含むために自社のアプリケーションの1つをLeagooに提供し、そのコンパイル前にシステムライブラリ内に第三者製コードを追加するよう指示していました。残念なことに、この問題のある要求についてメーカーはなんら疑問を抱きませんでした。その結果、最終的に Android.Triada.231 は易々とスマートフォンへの侵入を果たすこととなったのです。

このアプリケーションを分析した結果、Android.MulDrop.924と同じ証明書を使って署名されているということが明らかになりました。このトロイの木馬について、Doctor Webでは2016年に記事を掲載しています。 Android.Triada.231 の拡散には、モバイルOSイメージ内に追加のプログラムを含むよう要求したデベロッパーが、直接的または間接的に関わっているものと考えられます。

現時点で、 Android.Triada.231 は40を超えるデバイスモデルのファームウェアで検出されています:

• Leagoo M5
• Leagoo M5 Plus
• Leagoo M5 Edge
• Leagoo M8
• Leagoo M8 Pro
• Leagoo Z5C
• Leagoo T1 Plus
• Leagoo Z3C
• Leagoo Z1C
• Leagoo M9
• ARK Benefit M8
• Zopo Speed 7 Plus
• UHANS A101
• Doogee X5 Max
• Doogee X5 Max Pro
• Doogee Shoot 1
• Doogee Shoot 2
• Tecno W2
• Homtom HT16
• Umi London
• Kiano Elegance 5.1
• iLife Fivo Lite
• Mito A39
• Vertex Impress InTouch 4G
• Vertex Impress Genius
• myPhone Hammer Energy
• Advan S5E NXT
• Advan S4Z
• Advan i5E
• STF AERIAL PLUS
• STF JOY PRO
• Tesla SP6.2
• Cubot Rainbow
• EXTREME 7
• Haier T51
• Cherry Mobile Flare S5
• Cherry Mobile Flare J2S
• Cherry Mobile Flare P1
• NOA H6
• Pelitt T1 PLUS
• Prestigio Grace M5 LTE
• BQ-5510 Strike Power Max 4G (Russia)

このリストは包括的なものではありません。遥かに多くの数のスマートフォンモデルが感染している可能性があります。

このような大規模な Android.Triada.231 の拡散は、Androidデバイスメーカーはセキュリティの問題とシステムコンポーネント内へのトロイの木馬のコードの侵入についてほとんど注意を払っていないということを示すものです。これはエラーによるものか、あるいは悪意を持って意図的に行われたものであると考えられ、常習的なものである可能性があります。

Dr.Web for Androidは Android.Triada.231 のすべての亜種を検出します。お使いのモバイルデバイスが感染しているかどうかを確認するには、徹底的なスキャンを行ってください。root権限のあるDr.Web Security Space for Androidは、感染したシステムコンポーネントを修復することで Android.Triada.231 を駆除することができます。デバイスのroot権限を使用できない場合は、OSのクリーンなイメージをインストールすることでこのトロイの木馬を削除することができます。クリーンなイメージを入手するにはデバイスのメーカーに連絡してください。

Android.Triada.231の詳細

2018年2月28日

株式会社Doctor Web Pacific

2月、Doctor Webのセキュリティリサーチャーは、デバッグモードが有効になった様々なAndroidデバイスを感染させるマイニング型トロイの木馬を検出しました。そのほか、機密情報と金銭を盗む Android.BankBot.336.origin がユーザーを脅かしました。

2月のモバイル脅威

2月には Android.CoinMine.15 が広く拡散されました。サイバー犯罪者は、仮想通貨Moneroをマイニングするためにこのトロイの木馬を使用していました。 Android.CoinMine.15 はワームとして設計され、ネットワークに接続されたAndroidスマートフォンやタブレット、スマートテレビ、ルーター、メディアプレイヤーを感染させます。ただし、感染させることができるのは、デバイスでAndroid Debug Bridge(ADB)デバッグモードが有効になっている場合のみです。デバイスを感染させると、トロイの木馬のコンポーネントの1つが別のデバイスを検出し、トロイの木馬のコピーをそのデバイス上にインストールします。

Dr.Web for Androidによる統計

Android.RemoteCode.121.origin

Android.RemoteCode.117.origin

悪意のあるものを含む、様々なプログラムモジュールをダウンロード・起動させるトロイの木馬です。

Android.HiddenAds.253

Android.HiddenAds.222.origin

広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Android.Mobifun.4

別のマルウェアアプリケーションをダウンロードするよう設計されたトロイの木馬です。

Adware.Adpush.601

Adware.Jiubang.2

Adware.Jiubang.1

Adware.Leadbolt.12.origin

Androidアプリケーション内に組み込まれた不要なプログラムモジュールです。モバイルデバイス上に迷惑な広告を表示させます。

Tool.SilentInstaller.1.origin

ユーザーの介入なしに密かにアプリケーションを起動するよう設計されたリスクウェアです。

バンキング型トロイの木馬

2月には、Google Play上で Android.BankBot.336.origin が検出されています。サイバー犯罪者は、様々なインターネットバンキングシステムで動作するよう設計された汎用アプリケーションとしてこのトロイの木馬を拡散していました。 Android.BankBot.336.origin はクレジットカードに関する情報に加えて、ユーザーのアカウントからログインとパスワードを盗みます。その後、トロイの木馬はユーザーの銀行口座からサイバー犯罪者へと密かに送金を行います。

ウイルス開発者はAndroid向けの悪意のあるプログラムを継続的に改良し、既知の手法や革新的な手法を駆使してそれらを拡散し続けています。Google Play上での様々なトロイの木馬の発見は依然として後を絶ちません。これらの脅威からスマートフォンやタブレット、その他のデバイスを保護するため、Android向けのDr.Webアンチウイルス製品をインストールすることをお勧めします。

2018年2月8日

株式会社Doctor Web Pacific

数日前、中国の情報セキュリティ企業が、ADB.minerとしても知られるトロイの木馬 Android.CoinMine.15 の拡散について、ブログ上で公表しました。中国のリサーチャーによると、このトロイの木馬は、その活動のピーク時にはかなりの速さで拡散され、感染したデバイスの数は日々倍になっていったということです。Doctor Webのスペシャリストは、感染したデバイスの大半がスマートテレビであると考えています。それらは通常、ADBを使用して常時インターネットに接続しているためです。

このAndroid向けトロイの木馬は仮想通貨 Monero(XMR) をマイニングするよう設計されており、ユーザーの操作なしに他のデバイスを感染させることができます。 Android.CoinMine.15 は、Android Debug Bridge(ADB) のインターフェースが使用する5555番ポートの開いているAndroidデバイスを感染させます。スマートテレビだけでなく、スマートフォンやタブレット、セットトップボックス、ルーター、メディアプレイヤー、レシーバーがこのトロイの木馬に感染する可能性があります。すなわち、ネットワークデバッグを使用するあらゆるデバイスが対象となります。Androidを搭載したシングルボードコンピューター Raspberry Pi 3もまた、もう1つの攻撃対象です。

このトロイの木馬は次の方法で拡散されます。 nohup、 sss、 bot.datファイルと共に droidbot.apk アプリケーションが感染したホスト上に、感染した別のデバイスを使用してインストールされます。次に、 nohupユーティリティを使用してsssファイルが実行されます。このファイルは、その動作中にデーモンとして機能します。その後、 JSON設定ファイル、マイニングアプリケーション(32ビット版および64ビット版OS用)、 droidbotトロイの木馬プログラムのコピーを含むその他のトロイの木馬のコンポーネントを bot.datから抽出します。起動されると、 droidbotはランダムなIPアドレスを生成し、5555番ポートに無限ループで接続しようとします。成功すると、トロイの木馬はADBのデバッグインタフェースを使用して、検出されたデバイスを感染させようとします。そして別のスレッドでは、仮想通貨 Monero(XMR) をマイニングするよう設計されたマイニングアプリケーションを起動させます。このような悪意のあるプログラムに感染した場合、デバイスのパフォーマンス低下、過熱、バッテリーの残量の急激な減少が起こることがあります。

ADBデバッグは、 Androidではデフォルトで無効になっています。しかしながら、それを有効にしているベンダーもあり、また、ADBはユーザーによって意図的に有効にすることも可能です。開発者はしばしばデバッグモードを使用します。Dr.Web for Androidによって収集された統計によると、Dr.Webアンチウイルスによって保護されているデバイスの8%でAndroid Debug Bridgeが有効になっています。この設定が潜在的脅威となっている限り、特別なDr.WebコンポーネントであるSecurity Auditorは、デバッグが有効になっていることについてユーザーに警告し、それを無効にするよう提案します。

Dr.Webのスペシャリストは、Androidデバイスのすべてのユーザーが、リスクウェアがないかどうかOSをスキャンすることを推奨しています。これは、Security Auditorを含んだDr.Web Security Space for AndroidをDoctor Web公式サイトまたはGoogle Playで購入することで行うことができます。お使いのデバイスでUSBデバッグを使用していない場合は、それを無効にすることをお勧めします。Android向けDr.Web製品は Android.CoinMine.15 を検出し、削除することができます。そのため、Dr.Webユーザーに危害が及ぶことはありません。

Android.CoinMine.15の詳細(英語)

#Android #mining #cryptocurrencies

2018年2月5日

株式会社Doctor Web Pacific

感染させたデバイス上のファイルを暗号化し、それらを復号化するために身代金を要求する暗号化ランサムウェアは、依然として深刻な脅威となっています。Doctor Webでは、そのような暗号化ランサムウェアの新たな拡散についてユーザーの皆様に注意を呼び掛けています。

作成者によって「GandCrab!」と名付けられたこのトロイの木馬は、 Trojan.Encoder.24384 としてDr.Webのウイルスデータベースに追加されました。 Trojan.Encoder.24384 によって暗号化されたファイルには拡張子「*.GDCB」が付けられます。現時点で、このエンコーダの2つのバージョンが確認されています。

Microsoft Windows搭載デバイス上で起動されると、 Trojan.Encoder.24384 は実行されているアンチウイルスのプロセスに関する情報を収集します。続けて、繰り返し実行されることを防ぐためのチェックを行い、その後、サイバー犯罪者のリストに従ってプログラムのプロセスを終了させます。このエンコーダはディスク上に自身のコピーをインストールし、自動実行されるようWindowsシステムレジストリブランチを改変します。

Trojan.Encoder.24384 は、サービスフォルダやシステムフォルダなどのフォルダを除いて、固定ディスクやリムーバブルディスク、ネットワークディスクのコンテンツを暗号化します。それぞれのディスクは個別のスレッドで暗号化されます。暗号化が完了すると、トロイの木馬は暗号化されたファイルの数と暗号化にかかった時間に関するデータをサーバーに送信します。

トロイの木馬の使用するC&Cサーバーは、標準的方法では解決することのできないドメイン名を持っています。このサーバーのIPアドレスを取得するため、 Trojan.Encoder.24384 はコマンド nslookup を実行し、その出力内で必要な情報を探します。

現時点では、 Trojan.Encoder.24384 によって暗号化されてしまったファイルを復元することは不可能です。ファイルを保護するための最も信頼性の高い方法は、重要なすべてのデータのバックアップをタイムリーにとることです。さらに、バックアップコピーの保存先には外部ストレージを使用することが推奨されます。

Trojan.Encoder.24384の詳細(英語)

2018年1月31日

株式会社Doctor Web Pacific

2018年1月、Doctor Webのウイルスアナリストはトロイの木馬を含んだ約30のゲームをGoogle Play上で発見しました。このトロイの木馬は様々な動作を実行する悪意のあるモジュールを密かにダウンロード・起動します。また、Androidスマートフォンやタブレットのユーザーは、機密情報と金銭を盗むよう設計された新たなバンキング型トロイの木馬による攻撃を受けました。そのほか、1月には複数のスパイウェアがDr.Webウイルスデータベースに追加されています。1月に拡散されていた悪意のあるプログラムの中には、感染させたモバイルデバイスのコンピューティングパワーを使用して仮想通貨Moneroをマイニングする新たなマイニング型トロイの木馬が含まれていました。

1月のモバイル脅威

1月、Doctor Webのウイルスアナリストによって、 Android.RemoteCode.127.origin を含んだ30近いゲームがGoogle Play上で検出されました。 Android.RemoteCode.127.origin は、アプリケーションの機能を拡張するための特別なフレームワークの一部で、様々な動作を実行する追加のモジュールを密かにダウンロードし、起動させます。例えば、Webサイトを開き、ユーザーの操作を模倣してリンクや広告をクリックします。この脅威に関する詳細については、こちらの記事をご覧ください。

Dr.Web for Androidによる統計

Android.DownLoader.573.origin

別のトロイの木馬や不要なソフトウェアをダウンロードする悪意のあるプログラムです。

Android.HiddenAds.171.origin

Android.HiddenAds.253

Android.HiddenAds.222.origin

モバイルデバイス上に迷惑な広告を表示させるトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Android.RemoteCode.117.origin

悪意のあるものを含む、様々なプログラムモジュールをダウンロード・起動させるトロイの木馬です。

Adware.Jiubang.2

Adware.Jiubang.1

Adware.Allinone.1.origin

Adware.Adviator.6.origin

Adware.Leadbolt.12.origin

Androidアプリケーション内に組み込まれた不要なプログラムモジュールです。モバイルデバイス上に迷惑な広告を表示させます。

バンキング型トロイの木馬

1月には、ログイン認証情報を入力するための偽のウィンドウを表示させ、入力された情報をサイバー犯罪者に送信するバンキング型トロイの木馬 Android.BankBot.250.origin が拡散されました。

このトロイの木馬は、確認コードを含んだSMSを横取りし、サイバー犯罪者の口座への送金やオンラインバンキングシステム内でのその他の操作を密かに承認します。

スパイウェア

1月、Dr.Webウイルスデータベースに複数のスパイウェアが追加されました。そのうちの1つは、Dark Caracalとしても知られる Android.Spy.422.origin でした。この悪意のあるプログラムはサイバースパイ行為を目的に使用されていました。 Android.Spy.422.origin はSMSメッセージを盗み、通話を追跡し、写真やWebブラウザ履歴、保存されたブックマークを盗み、感染させたデバイスの内蔵マイクロフォンを使用して周りを盗聴し、さらにその他の幅広い動作を実行します。その他のスパイウェアは Android.Spy.410.origin の新たな亜種でした。 Android.Spy.410.origin は2017年11月よりDoctor Webスペシャリストに知られています。このスパイウェアはTelegram、 WhatsApp、 Skypeなどのポピュラーなメッセンジャーでのやり取りを追跡し、SMSメッセージや通話を横取りし、写真を盗みます。

ANDROID向けマイニング型トロイの木馬

1月に検出された、Androidを狙った悪意のあるプログラムにはマイニング型トロイの木馬も含まれていました。 Android.CoinMine.8 と名付けられたマイニング型トロイの木馬は、Webサイトから無料でダウンロードできるゲームやプログラムとして拡散されていました。実際は、それらのアプリケーションはすべて、感染させたデバイスを使用して仮想通貨Moneroをマイニングするトロイの木馬でした。

サイバー犯罪者は、依然としてAndroid向けの悪意のあるアプリケーションや不要なアプリケーションを作成し続け、それらを不正なWebサイトだけでなくGoogle Playからも拡散させています。これらの脅威からモバイルデバイスを保護するため、Android向けのDr.Webアンチウイルス製品をインストールすることをお勧めします。

2018年1月31日

株式会社Doctor Web Pacific

2018年は、トロイの木馬が埋め込まれた複数のAndroid向けゲームのGoogle Play上での検出によって幕を開けました。このトロイの木馬は感染させたデバイス上に悪意のあるモジュールをダウンロードし、起動させます。また、Windowsサーバーを感染させる複数のマイニング型トロイの木馬について、ウイルスアナリストによる調査が行われました。これらはすべてCleverence Mobile SMARTS Serverソフトウェアの脆弱性を利用するものでした。

1月の脅威

Cleverence Mobile SMARTS Serverは、店舗や倉庫、様々な施設や生産を自動化するためのアプリケーション群です。Doctor Webのアナリストは、遡ること2017年7月にこれらプログラムに含まれるゼロデイ脆弱性を発見し、ソフトウェアデベロッパーに報告を行いました。製品に対するセキュリティアップデートが直ちにリリースされましたが、すべてのサーバー管理者がそれをインストールしたわけではなく、その機に乗じてサイバー犯罪者は脆弱なサーバーに対するハッキングを続けました。サイバー犯罪者はそのようなサーバーに対して特別なリクエストを送信し、その結果、このリクエストに含まれているコマンドが実行されます。このコマンドを使用することで、サイバー犯罪者は管理者権限を持った新規ユーザーをシステム内で作成し、このユーザーアカウントを使用してRDPプロトコル経由でサーバーに不正アクセスします。また、Process Hackerツールを使用して、サーバー上で動作しているアンチウイルスのプロセスをシャットダウンさせるケースも確認されています。アクセスを取得したサイバー犯罪者によって、システムにマイニング型トロイの木馬がインストールされます。

サイバー犯罪者の使用するマイニング型トロイの木馬は継続的に改良され続けています。当初、使用されていたのは、 Trojan.BtcMine.1324、 Trojan.BtcMine.1369、 Trojan.BtcMine.1404としてDr.Webウイルスデータベースに追加された複数のバージョンのマイニング型トロイの木馬でした。のちに、これらは Trojan.BtcMine.2024、 Trojan.BtcMine.2025、 Trojan.BtcMine.2033へとアップデートされ、そして最新バージョンの Trojan.BtcMine.1978 が登場しました。

このトロイの木馬はクリティカルなシステムプロセスとして起動します。ユーザーがこのプロセスをシャットダウンしようとすると、Windowsによって緊急シャットダウンが実行され、「ブルースクリーン・オブ・デス(BSOD)」が表示されます。起動されると、 Trojan.BtcMine.1978 は、複数のアンチウイルスのプロセスをシャットダウンし、サービスを削除しようと試みます。 Trojan.BtcMine.1978 は仮想通貨 Monero(XMR) と Aeon をマイニングするために使用されていました。 Cleverence Mobile SMARTS Serverを使用するサーバー管理者の方には、デベロッパーによってリリースされたすべてのセキュリティアップデートをインストールすることをお勧めします。この脅威に関する詳細については、こちらの記事をご覧ください。

Dr.Web Anti-virusによる統計

Trojan.Moneyinst.520

他のトロイの木馬を含むさまざまなソフトウェアを被害者のコンピューター上にインストールする悪意のあるプログラムです。

Trojan.Starter.7394

感染させたシステム内で、特定の悪意のある機能を持った実行ファイルを起動させることを主な目的としたトロイの木馬です。

Trojan.BPlug

ユーザーがWebページを閲覧する際に迷惑な広告を表示させる、ポピュラーなブラウザのプラグインです。

Trojan.DownLoad

感染させたコンピューター上に別の悪意のあるプログラムをダウンロードするよう設計されたトロイの木馬ファミリーです。

Trojan.Zadved

ブラウザウィンドウ内に偽の検索結果を表示させ、ソーシャルネットワーキングサイトのものを模倣したポップアップメッセージを表示させるトロイの木馬です。また、様々なインターネットリソース上に表示される広告を置き換えることができます。

Doctor Web統計サーバーによる統計

JS.BtcMine.7

仮想通貨を密かにマイニングするよう設計されたJavaScriptです。

JS.Inject

JavaScriptで書かれた悪意のあるスクリプトのファミリーで、ウェブページのHTMLコードに悪意のあるスクリプトを挿入します。

Trojan.Encoder.24348

JavaScriptで書かれた悪意のあるスクリプトのファミリーで、別の悪意のあるプログラムをコンピューター上にダウンロード・インストールするよう設計されています。

Trojan.PWS.Stealer

感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。

メールトラフィック内で検出された脅威の統計

JS.BtcMine.7

仮想通貨を密かにマイニングするよう設計されたJavaScriptです。

JS.Inject

JavaScriptで書かれた悪意のあるスクリプトのファミリーで、ウェブページのHTMLコードに悪意のあるスクリプトを挿入します。

Trojan.Encoder.24348

ファイルを暗号化し、復元するために身代金を要求する暗号化ランサムウェア型トロイの木馬ファミリーに属する悪意のあるプログラムです。

Trojan.PWS.Stealer

感染したコンピューター上に保存されているパスワードやその他の個人情報を盗むよう設計されたトロイの木馬ファミリーです。

暗号化ランサムウェア

2018年1月には、以下のランサムウェアによる被害を受けたユーザーからDoctor Webテクニカルサポートサービスに対するリクエストがありました。

• Trojan.Encoder.858 — リクエストの22.12%
• Trojan.Encoder.567 — リクエストの7.83%
• Trojan.Encoder.11539 — リクエストの6.45%
• Trojan.Encoder.2267 — リクエストの3.46%
• Trojan.Encoder.761 — リクエストの3.23%
• Trojan.Encoder.3953 — リクエストの3.20%

危険なWEBサイト

2018年1月に非推奨サイトとしてDr.Webデータベースに追加されたURLの数は309,933件となっています。

モバイルデバイスを脅かす悪意のある、または望まないプログラム

1月、Doctor Webのウイルスアナリストはトロイの木馬 Android.RemoteCode.127.origin を含んだ多数のAndroid向けゲームをGoogle Play上で発見しました。このトロイの木馬は様々な動作を実行する悪意のあるモジュールを密かにダウンロード・起動します。また、1月にはバンキング型トロイの木馬 Android.BankBot.250.origin がユーザーを脅かしました。このトロイの木馬はオンラインバンキング口座にアクセスするためのログイン認証情報を盗みます。1月には、マイニング型トロイの木馬 Android.CoinMine.8 も検出されています。このトロイの木馬は、感染させたスマートフォンやタブレットのコンピューティングパワーを使用して仮想通貨Moneroをマイニングします。そのほか、Android向けスパイウェアが複数、Dr.Webウイルスデータベースに追加されています。そのうちの1つは Android.Spy.422.origin でした。その他のスパイウェアは2017年11月に拡散されていた Android.Spy.410.origin の新たな亜種でした。

1月の注目に値するモバイルマルウェアに関するイベントは以下のとおりです。

• Google Play上で新たなトロイの木馬を検出
• 感染させたモバイルデバイスを使用して仮想通貨をマイニングする新たなAndroid向けマイニング型トロイの木馬の拡散
• 新たなスパイウェアの検出

モバイルデバイスを標的とする悪意のある・望まないプログラムに関する詳細はこちらの記事をご覧ください。

2018年1月16日

株式会社Doctor Web Pacific

Doctor Webのウイルスアナリストによって、 Android.RemoteCode.127.origin を含んだ複数のゲームがGoogle Play上で発見されました。このトロイの木馬は、悪意のある様々な動作を実行する追加のモジュールを密かにダウンロードし、起動させます。それらの動作の例として、ユーザーの操作を模倣して密かにWebサイトを開き、サイト上にあるアイテムをクリックするなどがあげられます。

Android.RemoteCode.127.origin は呀呀云(Ya Ya Yun)と呼ばれるフレームワーク(ソフトウェア開発キット、SDK：Software Development Kit)の一部です。これは、アプリケーションの機能を拡張するためにデベロッパーによって使用されており、中でも特に、ゲーマー間の通信の維持を可能にすることができます。しかしながら、このプラットフォームはその他にトロイの木馬としての機能も持っています。すなわち、リモートサーバーから悪意のあるモジュールを密かにダウンロードするというものです。

SDKの組み込まれたプログラムが起動されると、 Android.RemoteCode.127.origin はC&Cサーバーに対してリクエストを送信し、その応答として、あらゆる種類の動作を実行することのできる悪意のあるモジュールをダウンロード・起動するコマンドを受け取ります。Doctor Webのスペシャリストは、 Android.RemoteCode.126.origin と名付けられたそのようなモジュールの1つを入手し、調査を行いました。起動されると、このモジュールはC&Cサーバーに接続し、無害であると見せかけた画像をダウンロードするためのリンクを取得します。

実際は、この画像ファイル内に Android.RemoteCode.126.origin のアップデートされたバージョンであるもう1つのトロイの木馬モジュールが含まれています。悪意のあるオブジェクトを画像内に隠すこのような手法(ステガノグラフィ)はウイルスアナリストの間で既に知られています。同様の手法が用いられた例として、2016年に検出され、 Android.Xiny.19.origin と名付けられたトロイの木馬があげられます。

復号化されて起動されると、新しいバージョンのトロイの木馬モジュール(Dr.Webによって Android.RemoteCode.125.origin として検出)は古いバージョンのモジュールと同時に動作を開始することで、その機能を2倍にします。次に、悪意のあるコンポーネントの潜んだまた別の画像をダウンロードします。 Android.Click.221.origin と名付けられたこのコンポーネントの目的は、密かにWebサイトを開き、サイト上にあるリンクやバナーなどのアイテムをクリックすることです。

そのために、 Android.Click.221.origin はC&Cサーバーによって指定されたアドレスからスクリプトをダウンロードします。このスクリプトは、指定されたアイテムのクリックを模倣するなど、トロイの木馬がWebサイト上で様々な動作を実行することを可能にします。このようにトロイの木馬がリンクや広告をクリックする機能を備えていれば、サイバー犯罪者はWebサイトのトラフィックを増加させ、バナーをクリックすることで収益を得ることができます。ただし、 Android.RemoteCode.127.origin の持つ機能はこれだけに留まりません。ウイルス開発者は他の悪意のある動作を実行するまた別のトロイの木馬のモジュールを作成することができるからです。例えば、ログイン認証情報を盗むためのフィッシングウィンドウを表示させる、広告を表示させる、アプリケーションを密かにダウンロード・インストールするなどです。

Doctor Webのスペシャリストはトロイの木馬を含んだSDKを使用している27のゲームをGoogle Play上で発見しました。450万をこえるユーザーがそれらをダウンロードしています。以下は、 Android.RemoteCode.127.origin の埋め込まれたアプリケーションのリストです。

Doctor Webは、上記アプリケーション内で検出されたトロイの木馬についてGoogle社に報告を行いました。しかしながら、本記事掲載時点で、これらアプリケーションは未だダウンロード可能な状態となっています。 Android.RemoteCode.127.origin を含んだゲームをダウンロードしたAndroidスマートフォンやタブレットのユーザーは、それらを削除することが推奨されます。。Dr.Web for Androidは Android.RemoteCode.127.origin を含んだプログラムを検出することができます。そのため、Dr.Webユーザーに危害が及ぶことはありません。

Android.RemoteCode.127.originの詳細(英語)

2017年11月30日

株式会社Doctor Web Pacific

Doctor Webは、2017年11月におけるモバイルデバイスを狙った脅威についての総括をここに報告します。11月、Doctor Webのセキュリティリサーチャーは、Webサイトを開いて広告やリンクをクリックするトロイの木馬をGoogle Play上で検出しました。また、感染させたデバイスを利用して仮想通貨をマイニングする悪意のあるプログラムや、Android向けバンキング型トロイの木馬、SMS型トロイの木馬が同じくGoogle Play上で発見されています。

2017年11月30日

株式会社Doctor Web Pacific

Doctor Webは2017年11月のウイルスレビューをここに報告します。11月には、バンキング型トロイの木馬Goziファミリーに属する新たな亜種が登場し、Linuxを標的とするバックドアが検出され、そしてインターネットユーザーを騙すためにサイバー犯罪者が使用する詐欺サイトが発見されました。

2017年11月24日

株式会社Doctor Web Pacific

銀行口座からお金を盗むよう設計されたトロイの木馬は深刻な脅威となっています。多くの場合、バンキング型トロイの木馬は複雑でマルチコンポーネントな悪意のあるプログラムであるため、あまり頻繁に登場することはありません。Doctor Webスペシャリストは、良く知られた Trojan.Gozi ファミリーの新たな亜種について調査を行いました。

Trojan.Gozi.64 と名付けられた新たなトロイの木馬は、Trojan.Goziの前回のバージョンのソースコードをベースにしています。このソースコードはかなり前に公開されています。 Trojan.Goziファミリーの他の亜種と同様、 Trojan.Gozi.64 は32 ビット版と 64 ビット版のWindows を搭載するコンピューターを感染させることができます。このトロイの木馬はモジュラー構造を持っていますが、これまでの亜種と異なり、別々にダウンロードされたプラグインのみで構成されています。また、 Trojan.Gozi.64 はコントロールサーバーの名前を生成するアルゴリズムも持っていません。Goziの初期のバージョンはNASAサーバーからダウンロードしたテキストファイルを辞書として使用していましたが、 Trojan.Gozi.64 ではサーバーのアドレスが設定内にハードコードされています。

Trojan.Gozi.64 の作成者は、トロイの木馬がMicrosoft Windows 7以降のバージョンで動作することを可能にし、それよりも古いバージョンでは動作しないようにするための制限を埋め込んでいます。追加のモジュールは、特別なローダーライブラリを使用してC&Cサーバーからダウンロードされます。また、データ交換プロトコルは暗号化を使用しています。 Trojan.Gozi.64 のローダーは感染したコンピューター上で次の悪意のある機能を実行することができます：

• トロイの木馬のアップデートを確認する
• Webインジェクションに使用するブラウザのプラグインをリモードサーバーからダウンロードする
• Webインジェクションの設定をリモードサーバーからダウンロードする
• 追加プラグインのダウンロードを必要とするものを含む個別のタスクを取得する
• コンピューターをリモートでコントロールする

Webインジェクションを実行するため、 Trojan.Gozi.64 は自身の設定可能なプラグインを使用します。現時点で、 Microsoft Internet Explorer、 Microsoft Edge、 Google Chrome、 Mozilla Firefoxのプラグインが確認されています。該当するモジュールがインストールされると、 Trojan.Gozi.64 はWebインジェクションを実行するための設定を含んだZIPアーカイブをC&Cサーバーから受け取ります。その結果、 Trojan.Gozi.64 はユーザーが開いたWebページに任意のコンテンツを挿入することができるようになります。例えば、銀行のWebサイトやオンラインバンキング上に表示される偽の認証フォームなどです。Webページの改ざんは感染したコンピューター上で直接行われているため、ブラウザのアドレスバーには正しいURLが表示されます。このことが、ユーザーの判断を誤らせ、警戒を解かせる要因となっていると考えられます。偽のフォームに入力されたデータはサイバー犯罪者に送信され、ユーザーの口座が被害にあう結果へと繋がります。

そのほか、感染したコンピューター上に追加のモジュールがダウンロード・インストールされる場合があります。それらにはキーロガープラグイン、感染したコンピューターにリモートでアクセスするためのモジュール(VNC)、 SOCKSプロキシサーバーのコンポーネント、メールクライアントから認証データを盗むためのプラグインなどがあります。

Dr.Web のウイルスデータベースには、 Trojan.Gozi.64 とそのモジュールのシグネチャが既に追加されています。そのためDr.Webで保護されたコンピューターに危害が及ぶことはありません。

#banker #banking_Trojan #online-banking #Trojan

2017年11月20日

株式会社Doctor Web Pacific

Doctor Webのスペシャリストは新たなLinux向けバックドアを発見しました。このことは、Linux系OSに対するサイバー犯罪者の関心が未だ失われてことを示す間接的な証拠であると言えます。

Linux.BackDoor.Hook.1 と名付けられたこのトロイの木馬は、複数のプログラムで圧縮／解凍に使用されるlibzライブラリ内で発見されました。SSHプロトコル経由でのデータのやり取りを確実にするバイナリファイル内でのみ動作します。サイバー犯罪者はバックドアとの接続に珍しい手法を用いています。その他同種のプログラムと異なり、 Linux.BackDoor.Hook.1 は開かれているソケットを使用せず、1,024個のソケットのうち最初に開いたものを使用して残り1,023個のソケットを閉じます。

バックドア Linux.BackDoor.Hook.1 はサイバー犯罪者から受けとったコマンドで指定されたファイルをダウンロードし、アプリケーションを起動、または特定のリモートホストに接続することができます。Dr.Web Anti-virus for Linuxには、このトロイの木馬のシグネチャが既に追加されています。そのため、Dr.Webユーザーに危害が及ぶことはありません。

Linux.BackDoor.Hook.1の詳細(英語)