2019年6月21日

株式会社Doctor Web Pacific

Doctor Webのウイルスラボでは、新しい種類のダウンローダ型トロイの木馬について調査を行いました。このマルウェアは JavaScript で書かれ、 Node.js を使用してシステム内で自身を起動させます。 Trojan.MonsterInstall と名付けられたこのトロイの木馬は、人気ゲームのチートを提供するサイトから拡散されていました。

この度、Doctor Webのウイルスラボは Yandex 社より Node.js トロイの木馬の希少なサンプルの提供を受け、それについて調査を依頼されました。このマルウェアはゲームのチートを提供するサイトから拡散されていたもので、複数のバージョンとコンポーネントがあります。

ユーザーがチートをダウンロードしようとすると、コンピューター上にパスワード保護された7zipアーカイブがダウンロードされます。アーカイブには実行ファイルが含まれており、このファイルは、起動されるとユーザーが要求したチートと一緒に他のトロイの木馬のコンポーネントをダウンロードします。

被害者のデバイス上で起動されると、 Trojan.MonsterInstall はその動作に必要なすべてのコンポーネントをダウンロード・インストールし、システムに関する情報を収集してトロイの木馬開発者のサーバーに送信します。そして応答を受け取ると、自動実行されるように自身を登録し、仮想通貨 TurtleCoin のマイニングを開始します。

このトロイの木馬の開発者は、それらを拡散するためのゲームのチートを提供するサイトを複数所有していますが、そのほかに、同じような他のサイトもトロイの木馬に感染させています。 SimilarWeb の統計によると、これらのサイトは月に12万7400回以上閲覧されています。

以下はマルウェアの開発者が所有するサイトです。

• румайнкрафт[.]рф;
• clearcheats[.]ru;
• mmotalks[.]com;
• minecraft-chiter[.]ru;
• torrent-igri[.]com;
• worldcodes[.]ru;
• cheatfiles[.]ru.

上記サイトのほか、 proplaying\[.]ru のチートも一部感染していることが明らかになっています。

Doctor Webでは、アンチウイルスを適時にアップデートし、疑わしいソフトウェアをダウンロードしないようにすることを推奨しています。

トロイの木馬のサンプルと拡散元に関する情報をご提供いただいた Yandex 社に対し、厚く御礼申し上げます。

MonsterInstallの詳細(英語)

IoC (Indicators of compromise)

#JavaScript #games #mining

2019年6月17日

株式会社Doctor Web Pacific

Google Chromeを使用して疑わしいWebサイトを開き、そのサイト上でユーザーを広告通知に登録させるトロイの木馬 Android.FakeApp.174 が、Doctor Webのエキスパートによって発見されました。これらの通知はブラウザが閉じている場合でも表示され、システム通知と間違えられる可能性があります。このような通知はAndroidデバイスのユーザーに煩わしい思いをさせるだけでなく、金銭や機密情報を盗む目的で使用されるようになる恐れがあります。

Webプッシュ通知を使用することで、Webサイトはブラウザでそのページが開かれていない場合でもユーザーが同意すれば通知を送信することが可能になります。無害なWebサイトであれば、この機能は有益で便利なものになります。たとえば、ソーシャルメディアはユーザーに新しいメッセージについて通知することができ、ニュースサイトは新しい記事について知らせることができます。一方で、ハッキングされたサイトや悪意のあるサイトからの広告や偽の通知を拡散させるために、サイバー犯罪者や悪質な広告主によってこの機能が悪用される可能性もはらんでいます。

プッシュ通知はモバイルデバイスのほか、デスクトップパソコンやートパソコンのブラウザでもサポートされています。通常、被害者は特別に作成されたリンクや広告バナーをクリックすることで危険なスパムサイトへ飛ばされます。 Android.FakeApp.174 は、犯罪者がそのようなWebサイトの訪問者数を増加させ、スマートフォンやタブレットのユーザーにプッシュ通知を登録させることを可能にする最初のトロイの木馬の1つです。

Android.FakeApp.174 は便利なプログラム（有名なブランドの公式ソフトウェアなど）を装って拡散されています。6月上旬、Google Play上でこのトロイの木馬の2つの亜種がDoctor Webのマルウェアアナリストによって発見されました。報告を受けたGoogle社によってマルウェアは削除されましたが、すでに1100人を超えるユーザーがそれらをダウンロードしていました。

起動されると、トロイの木馬はその設定内で指定されているWebサイトをGoogle Chromeで開きます。そのページからさまざまなアフィリエイトプログラムのページへと何度かリダイレクトを実行し、それらすべてのページでユーザーに通知の許可を要求します。その際、ユーザーに対して、認証のため（ユーザーがロボットでないことを確認する、など）であると説明したり、またはただ単にダイアログ内のどのボタンをクリックするかを示したりすることで、疑いを抱かれないようにしています。こうして、トロイの木馬は登録数を増やしていきます。以下の画像は通知の許可を求める画面の例です。

登録が完了すると、Webサイトはユーザーに対して疑わしい内容の通知を大量に送信しはじめます。これらの通知はブラウザが閉じられ、トロイの木馬がすでに削除されている場合でもOSのステータスバーに表示されます。その内容は、キャッシュボーナスや送金、ソーシャルメディア上の新しいメッセージに関する偽の通知から、星占い、カジノ、商品やサービスの広告、さらにはさまざまな「ニュース」まで、あらゆるものがあります。

それらの多くは実際のオンラインサービスやデバイス上にインストールされているアプリケーションの本物の通知のように見えます。たとえば、銀行、出会い系サイト、ニュースサイト、ソーシャルネットワークのロゴや目立つバナーが表示されます。このようなスパムメッセージが、場合によっては1日に数十通もAndroidデバイスユーザーに対して送信されます。

それらの通知には送信元となるWebサイトのアドレスも表示されていますが、警戒していないユーザーは気が付かなかったり、気に留めないこともあります。以下の画像は偽の通知の例です。

通知をクリックすると、ユーザーは疑わしいコンテンツを含むWebサイトへとリダイレクトされます。そのようなサイトには、カジノ、ベッティングショップ、さまざまなGoogle Playアプリケーション、割引やクーポン、偽のオンライン調査や賞品の抽選、パートナーリンクのアグリゲーター、そしてユーザーの住んでいる国によって異なるその他のオンラインリソースが含まれます。以下はそのようなサイトの例です。

これらリソースの多くは金銭を盗むための良く知られた詐欺スキームに使用されているものですが、今後、機密情報を盗むための攻撃に使用される可能性もあります。たとえば、銀行やソーシャルネットワークからのものを装った「重要な」通知をブラウザ経由で送信することで、ユーザーに偽の通知を本物であると思わせることができます。通知をタップしてしまったユーザーはフィッシングサイトへリダイレクトされ、そこで名前や認証情報、メールアドレス、クレジットカード番号、その他の機密情報を入力するよう求められます。

Doctor Webのエキスパートは、サイバー犯罪者は疑わしいサービスを宣伝するためにこの手法をより積極的に使用するようになるものとみています。モバイルユーザーはWebサイトを訪問する際には注意を欠かさず、見慣れないサイトや疑わしいサイトでは通知を登録しないようにしてください。すでにスパム通知を登録してしまっている場合は、以下の手順を実行してください。

• Chromeの設定を開き、[サイトの設定]で[通知]を選択します。
• 通知が有効になっているWebサイトのリストから該当するアドレスを見つけ、それをタップして、[消去してリセット]を選択します。

Dr.Web for Androidは Android.FakeApp.174 の既知の亜種をすべて検出し、削除します。したがって、Dr.Webユーザーに危害が及ぶことはありません。

Android.FakeApp.174の詳細(英語)

ご利用のAndroidを守る必要があります。

Dr.Webを利用してみませんか?

• Android向けロシア初のアンチウイルス
• Google Playからのダウンロード数が、1.4億件を突破しました
• 個人向けDr.Web製品のユーザーは、無料でご利用いただけます

無料ダウンロード

2019年6月5日

株式会社Doctor Web Pacific

Dr.Web の統計によると、5月には4月と比較してユニークな脅威の数に1.49%の増加が見られました。検出されたすべての脅威の合計数は14.51%増加しています。マルウェアや不要なプログラムに関する統計では、アドウェアとインストーラが多く検出されています。メールトラフィック内で検出されるマルウェアは、依然としてMicrosoft Officeプログラムの脆弱性を悪用したものが多くを占めていますが、5月には危険なトロイの木馬 Trojan.Fbng.8 (FormBook)の拡散にも増加がみられました。

5月の脅威

5月、Doctor WebのリサーチャーはmacOSを狙うユニークなマルウェア Mac.BackDoor.Siggen.20 について注意を喚起しました。このマルウェアは犯罪者が被害者のデバイス上に悪意のあるpythonコードをダウンロードし、実行することを可能にします。さらに、このマルウェアを拡散させているWebサイトはWindowsユーザーもスパイウェア型トロイの木馬 BackDoor.Wirenet.517 (NetWire)に感染させています。 BackDoor.Wirenet.517 は被害者のPCを遠隔操作するためにハッカーによって使用される、良く知られたRATトロイの木馬です。このトロイの木馬は被害者のデバイス上でカメラやマイクを使用するなど、複数の悪意のある機能を備えているうえに、有効なデジタル署名を持っています。

この脅威についての詳細

Doctor Web統計サーバーによる統計

5月の脅威：

Adware.Softobase.12

古くなったソフトウェアを拡散させ、ブラウザの設定を変更するアドウェアインストーラです。

Adware.Ubar.13

ユーザーのデバイス上に不要なプログラムをインストールするよう設計されたTorrentクライアントです。

Trojan.InstallCore.3553

また別の良く知られたアドウェアインストーラです。広告を表示させ、ユーザーの許可なしに追加のプログラムをインストールします。

Trojan.Winlock.14244

Windows OSとその機能へのユーザーのアクセスをブロックまたは制限するランサムウェア型トロイの木馬です。システムのブロックを解除するために、ユーザーはサイバー犯罪者に身代金を支払うよう要求されます。

Trojan.Starter.7394

被害者のデバイス上で別の悪意のあるソフトウェアを実行するよう設計されたトロイの木馬です。

メールトラフィック内で検出された脅威の統計

5月の脅威：

W97M.DownLoader.2938

Officeアプリケーションの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたシステムに別の悪意のあるプログラムをダウンロードするよう設計されています。

Exploit.ShellCode.69

CVE-2017-11882と呼ばれる脆弱性を悪用する、悪意のあるMicrosoft Office Wordドキュメントです。

Exploit.Rtf.CVE2012-0158

CVE2012-0158と呼ばれる脆弱性を悪用する、また別の悪意のあるMicrosoft Office Wordドキュメントです。

Exploit.Rtf.435

ユーザーのデバイスにトロイの木馬 Trojan.Fbng.8 (FormBook)をダウンロードするために脆弱性 CVE-2017-11882 を悪用する悪意のあるMicrosoft Officeドキュメントです。

Trojan.PWS.Stealer.19347

感染したコンピューターに保存されているパスワードやその他の機密情報を盗むように設計されたトロイの木馬のファミリーです。

活動に増加がみられたマルウェア：

Trojan.Inject3.15480

FormBookとしても知られるトロイの木馬です。個人情報を盗むように設計されていますが、開発者のサーバーからコマンドを受け取ることもできます。

暗号化ランサムウェア

2019年5月に最も多かったDoctor Webテクニカルサポートサービスへの問い合わせは、以下の暗号化ランサムウェアに感染したユーザーからのものでした：

• Trojan.Encoder.18000 — 15.38%
• Trojan.Encoder.858 — 9.89%
• Trojan.Encoder.11464 — 5.49%
• Trojan.Encoder.25574 — 5.49%
• Trojan.Encoder.11539 — 5.27%
• Trojan.Archivelock — 5.05%
• Trojan.Encoder.567 — 1.98%

危険なWebサイト

2019年5月に非推奨サイトとしてDr.Webデータベースに追加されたURLの数は223,952件となっています。

モバイルデバイスを脅かす悪意のあるプログラムや不要なプログラム

5月には、再びGoogle Playからさまざまな悪意のあるプログラムが拡散されました。広告バナーを表示させ、他のアプリやOSのインターフェースをブロックするトロイの木馬 Android.HiddenAds.1396 がDoctor Webのリサーチャーによって発見されています。5月の下旬にはスパイウェア型トロイの木馬 Android.SmsSpy.10206 と Android.SmsSpy.10263 が発見されました。これらトロイの木馬は受信するSMSを盗み、それらを犯罪者に送信します。

5月の注目に値するモバイルセキュリティに関するイベントは以下のとおりです。

• Google Playから新たなマルウェアが拡散

モバイルデバイスを標的とする悪意のあるプログラムや不要なプログラムに関する詳細はこちらのレビューをご覧ください。

2019年6月4日

株式会社Doctor Web Pacific

5月、Androidデバイスは再び、Google Playから拡散される悪意のあるプログラムの標的となりました。それら悪意のあるプログラムにはアドウェア型トロイの木馬 Android.HiddenAds やテキストメッセージを横取りするスパイウェア Android.SmsSpy が含まれていました。

5月のモバイル脅威

5月に検出されたマルウェアに、 Android.SmsSpy ファミリーに属するスパイウェア型トロイの木馬 Android.SmsSpy.10206 と Android.SmsSpy.10263 があります。これらトロイの木馬はインターネットバンキング用のソフトウェアを装ってGoogle Playから拡散されていました。

インストールされて起動されると、これら悪意のあるプログラムは自身をデフォルトのSMSマネージャーとして設定しようと試み、ユーザーに権限を要求します。権限を取得すると、 Android.SmsSpy.10206 と Android.SmsSpy.10263 は受信するすべてのメッセージを横取りし、それらを犯罪者のサーバーに転送します。

このマルウェアには次のような特徴があります：

• スペイン語圏のユーザーを対象にしている
• オープンソースプログラムの SMSdroid を基に作成され、そこにトロイの木馬の機能が追加されている

Dr.Web for Androidによる統計

Android.Backdoor.682.origin

サイバー犯罪者から受け取ったコマンドを実行し、感染したモバイルデバイスのコントロールを可能にするトロイの木馬です。

Android.RemoteCode.4411

Android.RemoteCode.197.origin

任意のコードをダウンロードして実行するように設計された悪意のあるプログラムです。

Android.HiddenAds.261.origin

Android.HiddenAds.1102

広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Adware.Zeus.1

Adware.Jiubang.2

Adware.AdPush.33.origin

Adware.Toofan.1.origin

Androidアプリケーション内に組み込まれ、モバイルデバイス上に迷惑な広告を表示させる不要なプログラムモジュールです。

Tool.VirtualApk.1.origin

アプリケーションがAPKファイルをインストールせずに実行することを可能にする、潜在的に危険なソフトウェアプラットフォームです。

アドウェア型トロイの木馬

5月上旬、Doctor Webのアナリストはオーディオプレーヤーを装って拡散されていたトロイの木馬 Android.HiddenAds.1396 をGoogle Play上で発見しました。

この悪意のあるプログラムは実際に音楽を再生しますが、初回起動後にアイコンを隠してしまうため、ユーザーはその後プログラムを起動することができなくなります。 Android.HiddenAds.1396 は迷惑な広告バナーを表示させ、ユーザーが感染したモバイルデバイスを操作することを困難にします。

新たな悪意のあるアプリケーションや不要なアプリケーションは依然としてGoogle Play上に登場し続けています。スマートフォンやタブレットを保護するために、Dr.Web for Androidをインストールすることをお勧めします。

ご利用のAndroidを守る必要があります。

Dr.Webを利用してみませんか?

• Android向けロシア初のアンチウイルス
• Google Playからのダウンロード数が、1.4億件を突破しました
• 個人向けDr.Web製品のユーザーは、無料でご利用いただけます

無料ダウンロード

2019年5月15日

株式会社Doctor Web Pacific

Doctor Webのリサーチャーによって、macOSを狙うユニークなマルウェアが発見されました。このマルウェアは犯罪者が被害者のデバイス上に悪意のある python コードをダウンロードし、実行することを可能にします。また、このマルウェアを拡散させているWebサイトはWindowsユーザーもスパイウェア型トロイの木馬に感染させています。

4月29日、macOSデバイスを狙う新たな脅威がDoctor Webのリサーチャーによって発見されました。 Mac.BackDoor.Siggen.20 と名付けられたこのマルウェアはハッカーがリモートサーバーから悪意のあるコードをアップロードして実行することを可能にするバックドアであるということが明らかになりました。

Mac.BackDoor.Siggen.20 は、その開発者によって管理されるWebサイトから被害者のデバイスに侵入しています。それらサイトの1つは架空の人物のポートフォリオサイトを装い、もう1つは WhatsApp メッセンジャーの公式サイトを装っています。

ユーザーがこれらのサイトを開くと、そこに埋め込まれたコードがユーザーのOSを特定し、それに応じてバックドアまたはトロイの木馬がダウンロードされます。すなわち、ユーザーがmacOSを使用している場合、そのデバイスは Mac.BackDoor.Siggen.20 に感染し、Windowsデバイスの場合は BackDoor.Wirenet.517 がダウンロードされます。後者は被害者のPCを遠隔操作するためにハッカーによって使用される、良く知られたRATトロイの木馬です。このトロイの木馬は被害者のデバイス上でカメラやマイクを使用するなど、複数の悪意のある機能を備えているうえに、有効なデジタル署名を持っています。

Doctor Webのデータによると、WhatsApp メッセンジャーを装って Mac.BackDoor.Siggen.20 を拡散させているWebサイトを訪問したユーザーの数は、ユニーク IP アドレスから約300人であると計測されています。この悪意のあるサイトは2019年3月24日から稼働しており、これまでのところハッカーによる大規模な活動には使用されていませんが、ユーザーの皆様には注意を怠らず、アンチウイルスをタイムリーにアップデートすることをお勧めします。現時点で、 Mac.BackDoor.Siggen.20 のすべてのコンポーネントを検出することができるのはDr.Webアンチウイルスのみとなっています。

Mac.BackDoor.Siggen.20の詳細(英語)

2019年5月8日

株式会社Doctor Web Pacific

Dr.Web の統計によると、4月には3月と比較してユニークな脅威の数に39.44%の減少が見られました。検出されたすべての脅威の合計数は14.96%減少しています。メールトラフィック内で検出されるマルウェアは、依然としてMicrosoft Officeプログラムの脆弱性を悪用したものが主流となっています。3月に見られた悪意のあるプログラムや不要なプログラムに関する傾向は4月も続き、検出された脅威の大半を悪意のあるブラウザ拡張機能、不要なプログラム、アドウェアが占めています。

非推奨サイトの数は28.04%増加しています。そのようなサイトの1つは動画や音声の編集ソフトウェアと一緒にバンキング型トロイの木馬とスティーラーを拡散させていました。Doctor Webでは4月の初めにこの脅威について記事を掲載しています。また、Doctor Webでは大手国際企業の公式アドレスから送信されるフィッシングニュースレターについても注意を喚起しています。

4月の脅威

Doctor Webは、動画や音声の編集ソフトウェアを配信する人気のWebサイトが侵害されていることについてユーザーに注意を促しました。ハッカーはサイト上のダウンロードリンクをハイジャックし、編集ソフトウェアと一緒に危険なバンキング型トロイの木馬である Win32.Bolik.2 と Trojan.PWS.Stealer （KPOT Stealer）が訪問者のデバイス上にダウンロードされるようにしていました。このトロイの木馬のファミリーは、Webインジェクション、トラフィックの横取り、キーロギングを実行し、さまざまな銀行クライアントシステムから情報を盗むよう設計されています。後日、ハッカーはトロイの木馬 Win32.Bolik.2 を別のマルウェアである Trojan.PWS.Stealer （KPOT Stealer）に変更しています。

この脅威についての詳細(英語)

Doctor Web統計サーバーによる統計

4月の脅威：

Adware.Softobase.12

古くなったソフトウェアを拡散させ、ブラウザの設定を変更するアドウェアインストーラです。

Adware.Ubar.13

ユーザーのデバイス上に不要なプログラムをインストールするよう設計されたTorrentクライアントです。

Trojan.Starter.7394

被害者のデバイス上で別の悪意のあるソフトウェアを実行するよう設計されたトロイの木馬です。

Adware.Downware.19283

通常、海賊版ソフトウェアのインストーラとして拡散されているアドウェアの一種です。インストールされるとブラウザの設定を変更し、さらに、ユーザーの許可なしに別のソフトウェアをインストールする場合もあります。

メールトラフィック内で検出された脅威の統計

Exploit.ShellCode.69

改変されたMicrosoft Office Wordドキュメントで、悪意のあるコードを実行するために脆弱性 CVE-2017-11882 を悪用します。

Exploit.Rtf.CVE2012-0158

CVE2012-0158と呼ばれる脆弱性を悪用する、また別の悪意のあるMicrosoft Office Wordドキュメントです。

JS.DownLoader.1225

コンピューター上に別のマルウェアをダウンロードしてインストールするよう設計された、 JavaScriptで書かれた様々な悪意のあるコードです。

Trojan.Encoder.26375

ファイルを暗号化し、データを復元するために身代金を要求する暗号化ランサムウェアトロイの木馬ファミリーに属する悪意のあるプログラムです。

W97M.DownLoader.2938

Officeアプリケーションの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたシステムに別の悪意のあるプログラムをダウンロードするよう設計されています。

暗号化ランサムウェア

2019年4月に最も多かったDoctor Webテクニカルサポートサービスへの問い合わせは、以下の暗号化ランサムウェアに感染したユーザーからのものでした：

• Trojan.Encoder.858 — 17.95%
• Trojan.Encoder.18000 — 14.65%
• Trojan.Encoder.11464 — 7.69%
• Trojan.Archivelock — 5.49%
• Trojan.Encoder.567 — 3.85%
• Trojan.Encoder.11539 — 3.85%
• Trojan.Encoder.25574 — 2.75%

危険なWebサイト

2019年4月に非推奨サイトとしてDr.Webデータベースに追加されたURLの数は345,999件となっています。

モバイルデバイスを脅かす悪意のあるプログラムや不要なプログラム

4月、Doctor WebはAndroid OSの複数のクリティカルな脆弱性を悪用する危険なトロイの木馬 Android.InfectionAds.1 について報告しました。これらの脆弱性を利用することで、 Android.InfectionAds.1 はapkファイルを感染させることができるほか、ユーザーの許可なしにプログラムをインストールしたり削除したりすることが可能です。

また、4月にはGoogle Play上でダウンローダ型トロイの木馬やクリッカーなどの新たなマルウェアに加え、インスタグラムの認証情報を盗むスティーラー Android.PWS.Instagram.4 と Android.PWS.Instagram.5 が発見されています。

そのほか、新たなバンキング型トロイの木馬がAndroidスマートフォンやタブレットのユーザーを脅かしました。その中にはトロイの木馬 Android.Banker.180.origin の新たなバージョンやその他のマルウェアが含まれていました。

4月の注目に値するモバイルセキュリティに関するイベントは以下のとおりです。

• Google Playからの悪意のあるプログラムの拡散
• バンキング型トロイの木馬の拡散

2019年5月7日

株式会社Doctor Web Pacific

4月、Doctor WebはAndroid OSの複数の脆弱性を悪用するトロイの木馬 Android.InfectionAds.1 について報告を行いました。これらの脆弱性は、トロイの木馬がプログラムを感染させ、ユーザーの操作なしにソフトウェアをインストール／アンインストールすることを可能にします。また、日本の金融機関から金銭を盗むよう設計されたバンキング型トロイの木馬 Android.Banker.180.origin の新たな亜種がウイルスアナリストによって発見されました。Google Playから拡散されていた悪意のあるプログラムも発見されています。モバイルデバイス上にバンキング型トロイの木馬をダウンロードするダウンローダ型トロイの木馬 Android.DownLoader、 Android.Click ファミリーに属するクリッカー、インスタグラムユーザーのログインとパスワードを盗む Android.PWS.Instagram です。その他のマルウェアもDr.Webのウイルスデータベースに追加されています。

4月のモバイル脅威

4月の初め、Doctor Webは危険なトロイの木馬 Android.InfectionAds.1 について報告を行いました。犯罪者はこのトロイの木馬を無害なソフトウェアに埋め込み、人気のサードパーティAndroidアプリストアから配信していました。このトロイの木馬はAPKファイルを感染させるためにAndroid OSのクリティカルな脆弱性 CVE-2017-13156 を、プログラムをインストール／アンインストールするために同じくクリティカルな脆弱性である CVE-2017-13315 を悪用してします。 Android.InfectionAds.1 は迷惑なバナー広告を表示させることもでき、これにより、ユーザーによるデバイスの操作を困難にします。このトロイの木馬に関する詳細についてはウイルスライブラリをご覧ください。

Dr.Web for Androidによる統計

Android.Backdoor.682.origin

サイバー犯罪者から受け取ったコマンドを実行し、感染したモバイルデバイスのコントロールを可能にするトロイの木馬です。

Android.HiddenAds.1102

Android.HiddenAds.261.origin

広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Android.RemoteCode.4411

任意のコードをダウンロードして実行するように設計された悪意のあるプログラムです。

Android.DownLoader.812.origin

別の悪意のあるプログラムをダウンロードするトロイの木馬です。

Adware.Zeus.1

Adware.AdPush.33.origin

Adware.Toofan.1.origin

Adware.Jiubang.2

Androidアプリケーション内に組み込まれた不要なプログラムモジュールで、モバイルデバイス上に迷惑な広告を表示させるよう設計されています。

Tool.VirtualApk.1.origin

アプリケーションがAPKファイルをインストールせずに実行することを可能にする、リスクウェアプラットフォームです。

Android版バンキング型トロイの木馬

4月を通して、バンキング型トロイの木馬がAndroidデバイスユーザーを脅かしました。下旬には、マルウェア Android.Banker.180.origin の新たな亜種がDoctor Webのウイルスアナリストによって発見されています。これらの亜種は日本のユーザーをターゲットにした荷物追跡アプリ（「佐川急便」アプリなど）を装って拡散されていました。インストールされると、これらトロイの木馬は自身のアイコンを削除し、ユーザーから姿を隠します。

これら Android.Banker.180.origin の亜種は、ロシアのソーシャルネットワーク Vkontakte 内に特別に作成されたページを介してコントロールされています。そのページでは、「activities（アクティビティ）」フィールドでトロイの木馬のC&Cサーバーのうちの1つの暗号化されたアドレスが指定されています。トロイの木馬は正規表現を使用してこのフィールドを検索し、アドレスを復号化してサーバーに接続します。

これらのトロイの木馬の亜種は、ハッカーから受け取ったコマンドに応じてSMSを傍受または送信し、フィッシングウィンドウを表示し、通話を発信し、デバイスの内蔵マイクを使用して周囲の音声を聞くことができます。また、スマートフォンやタブレットを管理する機能も備えており、Wi-Fiをオンにしたり、モバイルネットワーク経由でインターネットに接続したり、画面をブロックしたりすることができます。

そのほか、 Android.DownLoader ファミリーに属する Android.DownLoader.4303 などの新たなダウンローダがモバイルデバイス上にAndroid版バンカーをダウンロードしていました。それらは金融機関のアプリケーションを装って拡散されていました。

Google Play上のトロイの木馬

ダウンローダのほか、 Android.Click.303.origin や Android.Click.304.origin などのトロイの木馬がGoogle Play上で検出されています。これらのトロイの木馬はゲームやテレビ番組を見るためのプログラムなど、無害なアプリケーションを装って拡散されていました。Doctor Webのウイルスアナリストによって、これらトロイの木馬36個が検出されています。15万1,000人を超えるユーザーがそれらをインストールしています。

これら悪意のあるソフトウェアは複数の WebView で隠れたアクティビティを開きます。それらの1つにはコマンドを取得するためのWebサイトがロードされ、その他の WebView はハッカーがユーザーのアクションを模倣するための様々なJavaスクリプトや指定されたサイトをロードするために使用されます。ハッカーはそれらのサイト上でリンクやバナー広告をクリックすることによりクリック数を増加させます。また、被害者の携帯電話会社が Wap-Click テクノロジーをサポートしている場合は、特別なボタンをクリックすることでユーザーを有料サービスに登録させることもできます。これらトロイの木馬は自身のアイコンをOSのメイン画面から隠すことで、その削除を困難にします。

4月下旬、 Android.PWS.Instagram.4 と Android.PWS.Instagram.5 がDr.Webのウイルスデータベースに追加されました。これらトロイの木馬は、いいねとフォロワーを増やしたり、アカウントのセキュリティを強化したりするためのものなど、インスタグラムのユーザーにとって便利なプログラムを装って拡散されていました。起動されると、トロイの木馬はログインとパスワードを入力するようユーザーに要求し、それらのデータを犯罪者のサーバーに送信します。

その他の脅威

トロイの木馬 Android.FakeApp.2.origin もまた、4月にAndroidスマートフォンやタブレットのユーザーを脅かした悪意のあるアプリの1つです。このトロイの木馬はインドのサービスプロバイダーJioのユーザーに対して25GBの無料インターネット通信を提供するというプログラムに隠されていました。

感染数を増やすため、このトロイの木馬は感染させたデバイスのすべての連絡先に、トロイの木馬のコピーのダウンロードページへのリンクを含んだSMSを送信していました。 Android.FakeApp.2.origin の主な目的はバナー広告を表示させることです。

トロイの木馬は悪意のあるサイトのみでなく、公式のGoogle Playストアからも拡散され、Androidデバイスのユーザーを脅かしています。スマートフォンやタブレットを保護するために、Dr.Web for Androidをインストールすることをお勧めします。

Your Android needs protection.

Use Dr.Web

• The first Russian anti-virus for Android
• Over 140 million downloads—just from Google Play
• Available free of charge for users of Dr.Web home products

Free download

2019年4月12日

株式会社Doctor Web Pacific

Doctor Webのリサーチャーはこの度、良く知られた動画編集ソフトウェアであるVSDCの公式サイトが侵害されていることを発見しました。ハッカーはサイト上のダウンロードリンクをハイジャックし、動画編集ソフトウェアと一緒に危険なトロイの木馬である Win32.Bolik.2 と Trojan.PWS.Stealer （KPOT Stealer）が訪問者のデバイス上にダウンロードされるようにしています。

VSDCは動画や音声を編集するための人気の無料ソフトウェアです。 SimilarWeb の統計によると、毎月130万人近いユーザーがVSDCのサイトを訪問しています。しかしながら、サイトの開発者によるセキュリティ対策はこのような大きなトラフィック量に対するものとては不十分であり、多くのユーザーが危険にさらされています。

昨年、未知のハッカーがVSDCサイトの管理機能にアクセスし、ダウンロードリンクを置き換えました。その結果、ユーザーは編集ソフトウェアの代わりに JavaScript ファイルを受け取り、続けてその JavaScript により AZORult Stealer、 X-Key Keylogger、 DarkVNC バックドアがダウンロードされていました。VSDCチームは脆弱性を解決したと公表しましたが、最近になって、VSDCサイト経由で感染する新たなケースが報告されています。

Doctor Webのリサーチャーによると、VSDC開発者のコンピューターは最初の侵入が発生してから何度か侵害されており、そのハッキングの結果、2019年2月21日から3月23日の間にサイトが再度侵害されているものとみられます。今回、ハッカーたちはマルウェアを拡散させるために前回とは異なる手法を用いています。悪意のある JavaScript コードをVSDCサイト内に埋め込むというものです。このコードの役割は訪問者の位置情報を取得して、英国、米国、カナダ、オーストラリアのユーザーのダウンロードリンクを置き換えることです。VSDCサイトの元のリンクは別の感染したサイトへのリンクに置き換えられます：

• https://thedoctorwithin[.]com/video_editor_x64.exe
• https://thedoctorwithin[.]com/video_editor_x32.exe
• https://thedoctorwithin[.]com/video_converter.exe

感染したサイトからソフトウェアをダウンロードしたユーザーは危険なバンキング型トロイの木馬 Win32.Bolik.2 も一緒に受け取ります。その前身である Win32.Bolik.1 と同様、このトロイの木馬はマルチコンポーネントなポリモーフィック型ファイルウイルスとしての特徴を備えています。このトロイの木馬のファミリーは、Webインジェクション、トラフィックの横取り、キーロギングを実行し、さまざまな銀行クライアントシステムから情報を盗むよう設計されています。現時点で、Doctor Webでは videosoftdev.com サイト経由でこのトロイの木馬に感染した少なくとも565件のケースについて情報を入手しています。これまでのところ、このトロイの木馬のすべてのコンポーネントを検出することができるのはDr.Web製品のみとなっています。

2019年3月22日には、ハッカーはトロイの木馬 Win32.Bolik.2 を別のマルウェアである KPOT Stealer （Trojan.PWS.Stealerの亜種）に変更しています。このトロイの木馬はブラウザやMicrosoftアカウント、複数のメッセンジャー、その他いくつかのプログラムから情報を盗みます。わずか1日で83人のユーザーがこのトロイの木馬をダウンロードしています。

この脅威についてVSDCの開発者に対して報告が行われ、現在、ダウンロードリンクは元のリンクに戻されています。用心のため、VSDCユーザーの方はDr.Webアンチウイルスを使用してデバイスをスキャンすることをお勧めします。

Indicators of compromise (英語)

#banker #banking_trojan #virus

2019年3月22日

株式会社Doctor Web Pacific

本記事は、Androidデバイスのユーザーを標的とするバンキング型トロイの木馬 Flexnet について報告するものです。このマルウェアはキャッシュカードのみでなく、モバイルデバイスのアカウントからも金銭を盗みます。犯罪者は、オンラインゲーム、Webホスティングサービスやその他のサービスへの支払いに Flexnet を利用しています。

Flexnetは、2015年にDoctor Webによる調査が行われた「GM Bot」トロイの木馬を元に作成されています。この悪意のあるアプリケーションのソースコードは2016年に公開され、その後間もなくして Flexnet の最初のバージョンが登場しました。このトロイの木馬を使用したAndroidモバイルデバイスに対する攻撃は今日に至るまで続いています。

トロイの木馬 Flexnet はDrug Vokrug（デート・チャットアプリ）、GTA V、インスタグラムや VKontakte のアカウントプロモーション用ツール、その他のソフトウェアを装い、スパムメールによって拡散されています。メッセージは、リンクを辿りプログラムやゲームをダウンロードするようユーザーに促すものとなっています。

図1. トロイの木馬によって使用されるソフトウェアアイコンの例

起動されると、このトロイの木馬は標準ダイアログボックスを表示させ、管理者権限を要求します。ユーザーが権限を与えてしまうと、トロイの木馬は偽のエラーメッセージを表示させ、自身のアイコンをホーム画面から削除します。こうすることでユーザーに気づかれないよう身を隠し、削除されるのを防ぎます。

図2～3. 管理者権限の要求と偽のエラーメッセージ

今日のAndroid版バンキング型トロイの木馬に比べると、 Flexnet の持つ機能はごく限られたものとなっています。このトロイの木馬はテキストメッセージを横取りし、USSD要求を実行することができますが、これらはさまざまな詐欺手法を使用して金銭を盗むのに十分な機能です。

そのような手法の1つが、SMSを利用して、人気のコンピューターゲームのゲーム内アカウントに入金補充させるというものです。まず、トロイの木馬はユーザーのキャッシュカード残高を確認するために、モバイルバンキングサービスシステムにSMSを送信します。そして、残高の記載された返信メッセージを横取りし、その情報をサイバー犯罪者に送信します。次に、犯罪者はゲームのアカウント残高を補充するようユーザーに要求しますが、その際、ユーザーの電話番号と送金額を提示します。ユーザーが確認コードの含まれたSMSメッセージを受け取ると、トロイの木馬はそれを横取りし、内容をサイバー犯罪者に送信します。そして最後に、その確認コードを送信して送金を確定するよう指示するコマンドが犯罪者からトロイの木馬に送られます。

以下は、この手法を用いてどのように金銭を盗むのかを示した例です。

図4. Wargamingアカウントの残高補充。トロイの木馬は銀行のビリングシステムからのメッセージを横取りし、サイバー犯罪者からのコマンドに従って、2,475ルーブルの送金を確定する確認コードを含んだ返信を送る。

その他の詐欺行為も似たような方法で行われています。たとえば、サイバー犯罪者は被害者のモバイルアカウントのお金をホスティングサービスの支払いに使用することができます。この場合、トロイの木馬は必要なパラメータを含んだSMSメッセージを標的となる電話番号に対して送信します。以下はその例です。

図5. トロイの木馬は、 jino.ru ホスティングサービスに送金金額（299ルーブルと1,000ルーブル）とアカウント名をテキストで送り、サイバー犯罪者の残高を補充。

被害者の口座に十分な残高がない場合でも、犯罪者は携帯電話会社の提供するクレジットによる支払方法を利用して金銭を盗むことが可能です。その場合も、トロイの木馬は必要なパラメータを含んだSMSメッセージを送信します。疑わしいメッセージはすべてトロイの木馬によって隠されてしまうため、感染したデバイスのユーザーはお金を盗まれたことにしばらくの間気が付きません。

図6. 犯罪者はMy.comサービスの支払いを試みるが、被害者のモバイルクレジットの残高が足りない。犯罪者はクレジットによる支払方法を使用して送金を成功させるよう指示するコマンドをトロイの木馬に送信。デバイスのユーザーには借金が残る。

さらに、このトロイの木馬は被害者のキャッシュカードからサイバー犯罪者の口座に送金を行うことができます。ただし、金融機関は特別なアルゴリズムを使用して疑わしい取引を追跡しているため、そのような送金はブロックされる可能性が極めて高いといえます。一方で、前述の手法では、犯罪者は比較的少額の金銭を長期にわたって気づかれずに盗むことが可能です。

Flexnetのもう1つの特徴は機密情報を盗むというものです。サイバー犯罪者はソーシャルメディアやオンラインストア、携帯電話会社のWebサイト、その他のオンラインサービスに登録されているユーザーのアカウントへのアクセスを取得することができます。まず、被害者の携帯電話番号を入手した犯罪者は、そのアカウントへのログインを試みます。次に、サービスから送られてくるワンタイム確認コードをトロイの木馬が横取りし、犯罪者に送信します。

図7. トロイの木馬によって横取りされた、さまざまなサービスのワンタイムアクセスコードを含んだテキスト

感染したデバイスのユーザーの電話番号が、標的となるサービスに登録されていなかった場合でも、サイバー犯罪者は新しいアカウントの登録にそれらの番号を使用することができます。新しく作成された、侵害されたこれらのアカウントは後にブラックマーケットに流れ、スパムの送信やフィッシング攻撃に利用される可能性があります。

ドメイン名レジストラREG.ruの協力により Flexnet のC&Cサーバーのいくつかがブロックされ、現在、サイバー犯罪者は感染したデバイスの一部をコントロールすることができなくなっています。

Androidデバイスのユーザーには、ソフトウェアやゲームはGoogle Playなどの信頼できる提供元からのみインストールするようにすることが推奨されます。他のユーザーによるレビューに気を付けるようにし、信頼できる開発元のソフトウェアのみをインストールするようにしてください。

Dr.Web for Androidは Flexnet のすべての既知の亜種を Android.ZBot ファミリーの一部として検出し、それらをデバイスから削除します。したがって、Dr.Webユーザーに危害が及ぶことはありません。

#Android, #banking_Trojan, #two_factor_authentication

2019年3月14日

株式会社Doctor Web Pacific

Doctor Webのラボでは、 Counter-Strike（カウンターストライク） 1.6ゲームクライアントの脆弱性を悪用してユーザーのコンピューターに侵入するマルウェア Trojan.Belonard について調査を行いました。このトロイの木馬は、インストールされるとゲームファイルおよび利用可能なゲームサーバーのリストを置き換えます。

Trojan.Belonard は悪意のあるゲームサーバーに接続されると同時にデバイス上にインストールされます。このトロイの木馬はゲームクライアントの脆弱性を悪用し、Steam版と海賊版の両方の Counter-Strike 1.6 （CS 1.6）を感染させることができます。被害者のコンピューター上にインストールされると、クライアントのファイルを置き換え、他のユーザーを感染させるためにプロキシを作成します。通常、このような手法は感染したコンピューターのネットワークを構築する目的で使用され、それによりゲームサーバーを宣伝して収益を得ることが可能になります。

このゲームは長い歴史を持つにもかかわらず未だ多くのファンを持ち、CS 1.6の公式クライアントを使用するオンラインのプレイヤー数は約2万人と推定され、Steamに登録されているゲームサーバーの合計数は5千を超えています。ゲームサーバーの販売、レンタル、宣伝は、今や立派なビジネスとしてみなされ、これらのサービスはさまざまなサイトで購入することができます。多くの場合、サーバーの所有者は自分のサーバーがマルウェアによって宣伝されてしまう可能性があるということに気が付かず、それらのサービスに料金を支払っています。そのような違法な方法が「Belonard」と呼ばれる開発者によって使用されていました。この開発者のサーバーは他のプレイヤーをトロイの木馬に感染させ、それらのアカウント経由で別のサーバーを宣伝していました。

現時点で、 Belonard トロイの木馬によって作成された悪意のあるCS 1.6サーバーの数は、Steam上に登録されているすべての公式サーバーの39%にも上っています。CSコミュニティーは長らくこの問題に直面してきました。しかしながら、これまでアンチウイルスは Belonard トロイの木馬全体ではなく、この脅威の一部のみを特定することしかできませんでした。この度、Dr.Webのアンチウイルス製品により Belonard トロイの木馬のすべてのモジュールが検出されるようになりました。したがって、Dr.Webのユーザーに危害が及ぶことはありません。 Belonard トロイの木馬とその動作についての詳細は、こちらの調査結果をご覧ください。

2019年3月14日

株式会社Doctor Web Pacific

序文

Counter-Strike(カウンターストライク) 1.6は2000年に Valve Corporation によってリリースされたゲームで、長い歴史を持つにもかかわらず未だに多くのファンを抱えています。CS 1.6の公式クライアントを使用するオンラインのプレイヤー数は約2万人に達し、Steamに登録されているゲームサーバーの合計数は5千を超えています。ゲームサーバーの販売、レンタル、宣伝は、今や立派なビジネスとしてみなされ、これらのサービスはさまざまなサイトで購入することができます。例えば、サーバーのランクを1週間上げるには約200ルーブルかかります。これは大した額ではありませんが、多くのバイヤーが利用することで、この戦略は成功したビジネスモデルとなっています。

人気のあるゲームサーバー所有者の多くは、禁止からの保護や武器へのアクセスなどさまざまな特権を売ることでもプレイヤーからお金を集めています。自分で宣伝を行うサーバー所有者もいますが、一方で、請負業者によるサーバー宣伝サービスを購入する所有者もいます。サービスに対して支払いを行った後は、自分のサーバーがどのように宣伝されているかについて気にしないという所有者が多く見られます。ところが、「Belonard」と呼ばれる開発者が違法な方法で宣伝を行っているということが明らかになりました。この開発者のサーバーは他のプレイヤーをトロイの木馬に感染させ、それらのアカウント経由で別のサーバーを宣伝していました。

悪意のあるサーバーの所有者はゲームクライアントの脆弱性と新たに作成したトロイの木馬をそのビジネスの技術基盤として使用しています。このトロイの木馬はプレイヤーのデバイスを感染させ、自身を自動実行させるためのマルウェアをダウンロードし、そしてそれを別のプレイヤーのデバイスに拡散させます。その際、リモートから任意のコードを実行できる RCE (Remote Code Execution) 脆弱性を悪用しますが、この脆弱性は公式ゲームクライアントで2つ、そして海賊版では4つ発見されています。

システム内にインストールされると、 Trojan.Belonard はゲームクライアント内で利用可能なゲームサーバーのリストを置き換え、トロイの木馬を拡散させるために感染したコンピューター上にプロキシを作成します。一般的に、プロキシサーバーはping値が低いため、それらは他のプレイヤーのリストの先頭に表示されます。それらの1つを選択することでプレイヤーは悪意のあるサーバーへリダイレクトされ、そこで Trojan.Belonard に感染します。

このパターンを使用することで、トロイの木馬の開発者はCS 1.6ゲームサーバーの大部分を占めるボットネットを作成することに成功しました。Doctor Webのアナリストは、Steam公式クライアントの利用可能なサーバー5千台のうち、1,951台が Belonard Trojan によって作成されたものであるとしています。これは、ゲームサーバー全体の39%にあたります。この規模のネットワークが、トロイの木馬の開発者が他のサーバーを宣伝することで収益を得て、それらのサーバーを感染したゲームクライアントの利用可能なサーバーのリストに追加することを可能にしています。

Doctor Webでは、CS 1.6について、トロイの木馬が悪意のあるサーバーを介してプレイヤーのデバイスを感染させる可能性があるという似たような事例を過去に報告しています。その事例では、トロイの木馬は悪意のあるファイルをダウンロードするためにユーザーの許可を得る必要がありましたが、今回、トロイの木馬はユーザーに気づかれることなくデバイスに侵入しています。Doctor Webはゲームの脆弱性についてValve社に報告を行いましたが、現時点で、いつ脆弱性が修正されるかについての情報は入ってきていません。

クライアントの感染

Trojan.Belonard は11のコンポーネントで構成され、ゲームクライアントによって異なるさまざまなシナリオで動作します。公式クライアントが使用された場合、トロイの木馬は悪意のあるサーバーによって悪用されたRCE脆弱性を介してデバイスに侵入し、システム内にインストールされます。海賊版クライアントも同じ方法でデバイスを感染させます。ユーザーが、悪意のあるサーバーの所有者のサイトから感染したクライアントをダウンロードしてきた場合、トロイの木馬はゲームの初回起動時にインストールされます。

クライアントの感染プロセスについて詳しく説明します。プレイヤーがSteam公式クライアントを起動し、ゲームサーバーを選択します。悪意のあるサーバーに接続すると、サーバーはRCE脆弱性を悪用して、悪意のあるライブラリの1つをプレイヤーのデバイスにアップロードします。脆弱性の種類に応じて、 client.dll (Trojan.Belonard.1) または Mssv24.asi (Trojan.Belonard.5) の2つのライブラリのうちの1つがダウンロードされ、実行されます。

被害者のデバイスに侵入すると、 Trojan.Belonard.1 はライブラリプロセスファイルと同じディレクトリにある.datファイルをすべて削除します。その後、悪意のあるライブラリはC&Cサーバー (fuztxhus.valve-ms[.]ru:28445) に接続し、 Mp3enc.asi (Trojan.Belonard.2) ファイルをダウンロードするために暗号化されたリクエストを送信します。サーバーはその応答として暗号化されたファイルを返します。

以下の画像は、サーバーからの復号化されたデータパケットのスクリーンショットです。

クライアントへのインストール

公式クライアントまたは海賊版クライアントの感染は Counter-Strike クライアントの特定の機能を利用して行われます。このゲームが起動されると、ゲームのルートフォルダにあるすべてのASIファイルが自動的にダウンロードされます。

トロイの木馬の開発者のサイトからダウンロードされたクライアントはすでに Trojan.Belonard.10 (ファイル名：Mssv36.asi) に感染していますが、システム内へのインストールは、感染していないバージョンのゲームクライアントとは異なる方法で行われます。感染しているクライアントがインストールされた後、 Trojan.Belonard.10 はユーザーのOS内に自身のコンポーネントが存在するかどうかを確認します。存在しなかった場合、本体からコンポーネントをアンパックし、 Trojan.Belonard.5 (ファイル名：Mssv24.asi) をプロセスメモリ内にダウンロードします。他の多くのモジュール同様、 Trojan.Belonard.10 はファイルの作成・変更・アクセス日時を改変し、フォルダのコンテンツが作成日順にソートされた場合でもトロイの木馬のファイルが見つかることのないようにします。

新しいコンポーネントをインストールした後、 Trojan.Belonard.10 はシステムに残り、クライアントのプロテクターとして機能します。他のゲームサーバーから受け取ったリクエスト、ファイル、およびコマンドをフィルタリングし、クライアントに対する変更が試みられた場合はそれに関するデータをトロイの木馬開発者のサーバーに送信します。

Trojan.Belonard.5 は、実行中のプロセスと DllMain 内のモジュールへのパスに関する情報を受け取ります。プロセス名が rundll32.exe ではない場合、次のアクションのために別のスレッドを起動します。実行中のスレッドで、 [HKCU\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\AppCompatFlags\\Layers] '<path to the executable file process>' キーを作成して "RUNASADMIN" 値を割り当て、モジュール名を確認します。モジュール名が "Mssv24.asi" でない場合、自身を "Mssv24.asi" モジュールにコピーし、異なる名前を持ったバージョンを削除して Trojan.Belonard.3 を起動します (ファイル名：Mssv16.asi)。名前が一致した場合は、直ちにトロイの木馬をダウンロードして起動します。

感染していないクライアントへの埋め込みは Trojan.Belonard.2 によって行われます。ダウンロード後、 Trojan.Belonard.2 は DllMain 内で client.dll (Trojan.Belonard.1) がロードされているプロセスの名前を確認します。名前が rundll32.exe でなかった場合は、 [HKCU\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\AppCompatFlags\\Layers] '<path to the executable file process>’キーを使用してスレッドを作成し、 "RUNASADMIN" 値を割り当てます。その後、ユーザーのデバイスに関するデータを収集し、 DialogGamePage.res ファイルから情報を抽出します。収集したデータは暗号化されたフォーマットでトロイの木馬開発者のサーバーに送信されます。

以下は、収集されたシステムデータの構造です。

応答として、サーバーは Mssv16.asi ファイル (Trojan.Belonard.3) を送信します。新しいモジュールに関するメタ情報は DialogGamePage.res ファイルに保存され、 Trojan.Belonard.5 はユーザーのデバイスから削除されます。

システムへのインストール

システム内に存続するためのプロセスは Trojan.Belonard.3 によって開始されます。デバイスに侵入すると、 Trojan.Belonard.3 は Trojan.Belonard.5 を削除し、実行されているコンテキストでプロセスをチェックします。それが rundll32.exe でない場合、他の2つのトロイの木馬 Trojan.Belonard.7 (ファイル名：WinDHCP.dll) と Trojan.Belonard.6 (ファイル名：davapi.dll) を %WINDIR%\System32\ に保存します。 Trojan.Belonard.5 と異なり、 Trojan.Belonard.7 と Trojan.Belonard.6 は分解された形でトロイの木馬内に保存されます。これら2つのトロイの木馬の本体は、 0xFFFC バイトのブロックに分割されています(最後のブロックはより小さい可能性があります)。ディスクに保存されると、トロイの木馬はブロックを組み立て、作業ファイルを取得します。

トロイの木馬を組み立てると、 Trojan.Belonard.3 は svchost.exe のコンテキストで WinDHCP.dll (Trojan.Belonard.7) を実行するための WinDHCP サービスを作成します。言語設定に応じて、OSはサービスパラメータの設定にロシア語または英語のテキストを使用します。

WinDHCPサービスパラメータ：

• サービス名："Windows DHCP Service"または"Служба Windows DHCP"
• 説明："Windows Dynamic Host Configuration Protocol Service"または"Служба протокола динамической настройки узла Windows"
• ImagePathパラメータは"%SystemRoot%\System32\svchost.exe -k netsvcs"を指定し、ServiceDllはトロイの木馬のライブラリへのパスを指定します。

その後、 Trojan.Belonard.3 は WinDHC Pサービスが実行されているかどうかを定期的にチェックし、実行されていない場合はサービスを再インストールします。

Trojan.Belonard.7 は、自動実行サービスによって感染したデバイスにインストールされた、 ServiceMain エクスポート機能を持つ WinDHCP.dll です。その目的は、キー "HKLM\\SYSTEM\\CurrentControlSet\\Services\\WinDHCP" のレジストリにある "Tag" パラメータを確認することです。値が0に設定されている場合、 Trojan.Belonard.7 は davapi.dll ライブラリ (Trojan.Belonard.6) をロードし、そのエクスポートされた関数を呼び出して、 WinDHCP サービスのステータスを表わす SERVICE_STATUS に引数としてポインタを渡します。その後、1秒待ってから再度 "Tag" パラメータを確認します。値が0ではない場合、 Trojan.Belonard.7 は Trojan.Belonard.6 の古いバージョンである spwinres.dll ライブラリ (Trojan.Belonard.4) をロードします。続けて、 spwinres.dll のエクスポートされた関数を呼び出し、WinDHCP サービスのステータスを表わす SERVICE_STATUS に引数としてポインタを渡します。

トロイの木馬はこれらの動作を1秒ごとに繰り返します。

以下は、Doctor Webのカスタマーから報告された WinDHCP サービスパラメータです。

<RegistryKey Name="WinDHCP" Subkeys="1" Values="11">
<RegistryKey Name="Parameters" Subkeys="0" Values="1">
<RegistryValue Name="ServiceDll" Type="REG_EXPAND_SZ" SizeInBytes="68" Value="%SystemRoot%\system32\WinDHCP.dll" />
</RegistryKey>
<RegistryValue Name="Type" Type="REG_DWORD" Value="32" />
<RegistryValue Name="Start" Type="REG_DWORD" Value="2" />
<RegistryValue Name="ErrorControl" Type="REG_DWORD" Value="0" />
<RegistryValue Name="ImagePath" Type="REG_EXPAND_SZ" SizeInBytes="90" Value="%SystemRoot%\System32\svchost.exe -k netsvcs" />
<RegistryValue Name="DisplayName" Type="REG_SZ" Value="Служба Windows DHCP" />
<RegistryValue Name="ObjectName" Type="REG_SZ" Value="LocalSystem" />
<RegistryValue Name="Description" Type="REG_SZ" Value="Служба протокола динамической настройки узла Windows" />
<RegistryValue Name="Tag" Type="REG_DWORD" Value="0" />
<RegistryValue Name="Data" Type="REG_BINARY" SizeInBytes="32" Value="f0dd5c3aeda155767042fa9f58ade24681af5fbd45d5df9f55a759bd65bc0b7e" />
<RegistryValue Name="Scheme" Type="REG_BINARY" SizeInBytes="16" Value="dcef62f71f8564291226d1628278239e" />
<RegistryValue Name="Info" Type="REG_BINARY" SizeInBytes="32" Value="55926164986c6020c60ad81b887c616db85f191fda743d470f392bb45975dfeb" />
</RegistryKey>

すべての機能が起動する前に、 Trojan.Belonard.6 は WinDHCP サービスレジストリの "Tag" パラメータと "Data" パラメータをチェックします。 "Data" パラメータには、AESキーの生成に使用されるバイトの配列が含まれている必要があります。含まれていない場合、トロイの木馬は openssl ライブラリを使用して32のランダムバイトを生成します。これは、後に暗号化キーの生成に使用されます。その後、 WinDHCP サービスの "Info" および "Scheme" パラメータを読み取ります。 "Scheme" には、AESで暗号化された4つのパラメータが保存され、 "Info" にはインストールされているプログラムのリストの SHA256 ハッシュが保存されます。

このデータを収集した後、 Trojan.Belonard.6 はC&Cサーバーのアドレス (oihcyenw.valve-ms[.]ru) を復号化し、接続を確立しようとします。失敗した場合はDGAを使用して .ru ゾーンにドメインを生成しますが、ドメイン生成コードにエラーがあり、このアルゴリズムではトロイの木馬開発者が望んでいたドメインを作成することができません。

暗号化された情報を送信した後、トロイの木馬はサーバーからの応答を受け取ります。続けて、それを復号化し、転送されたファイルを %WINDIR%\System32\ に保存します。このデータには、トロイの木馬の wmcodecs.dll (Trojan.Belonard.8) と ssdp32.dll (Trojan.Belonard.9) が含まれています。

上記の機能に加え、 Trojan.Belonard.6 はランダムな間隔で次の動作を実行します。

• 実行中の Counter-Strike クライアントを検索する
• Trojan.Belonard.9 を起動させる
• 開発者のサーバーに接続する

実行の間隔はC&Cサーバーで変更することができます。

ペイロードと拡散

Belonardはまた、デバイス上で見つかった新しいゲームクライアントにもインストールされます。これは Trojan.Belonard.8 と Trojan.Belonard.6 によって実行されます。

Trojan.Belonard.8 は、 Counter-Strike 1.6クライアントのファイル名とそれらの SHA256 ハッシュに関するデータが含まれたコンテナを初期化します。 Trojan.Belonard.6 はインストールされているゲームクライアントの検索を開始します。実行中のクライアントが見つかった場合、ファイルのリストとそれらの SHA256 ハッシュを Trojan.Belonard.8 から受け取ったデータと照合します。それらが一致しない場合、 Trojan.Belonard.8 は感染していないクライアントのプロセスを終了し、 hl.exe ファイルをゲームディレクトリにドロップします。このファイルは、ゲームがロードされる際に「Could not load game. Please try again at a later time.(ゲームをロードできません。後でもう一度お試しください。)」というエラーメッセージを表示するためだけのものです。これにより、クライアントのファイルを置き換えるための時間を稼ぐことができます。完了すると、トロイの木馬はhl.exeを作業ファイルに置き換え、ゲームはエラーなしに起動します。

トロイの木馬は以下のクライアントファイルを削除します：

<path>\\valve\\dlls\\*
<path>\\cstrike\\dlls\\*
<path>\\valve\\cl_dlls\\*
<path>\\cstrike\\cl_dlls\\*
<path>\\cstrike\\resource\\*.res
<path>\\valve\\resource\\*.res
<path>\\valve\\motd.txt
<path>\\cstrike\\resource\\gameui_english.txt
<path>\\cstrike\\resource\\icon_steam.tga
<path>\\valve\\resource\\icon_steam.tga
<path>\\cstrike\\resource\\icon_steam_disabled.tga
<path>\\valve\\resource\\icon_steam_disabled.tga
<path>\\cstrike\\sound\\weapons\\fiveseven_reload_clipin_sliderelease.dll
<path>\\cstrike_russian\\sound\\weapons\\fiveseven_reload_clipin_sliderelease.dll
<path>\\cstrike_romanian\\sound\\weapons\\fiveseven_reload_clipin_sliderelease.dll

OSの言語設定に応じて、トロイの木馬は英語またはロシア語のゲームメニューファイルをダウンロードします。

改変されたゲームのクライアントには、 Trojan.Belonard.10 のファイルとトロイの木馬開発者のWebサイトの広告が含まれています。ゲームを開始すると、プレイヤーのニックネームが、感染したゲームクライアントをダウンロードするためのWebサイトのアドレスに変わり、一方で、ゲームメニューには1万1,500人以上のサブスクライバーを持つ VKontakte のCS 1.6コミュニティーへのリンクが表示されます。

このトロイの木馬のペイロードは、ユーザーのデバイス上で偽のゲームサーバーを多数エミュレートするというものです。そのために、トロイの木馬はゲームクライアントに関する情報を開発者のサーバーに送信し、その応答として、偽のサーバーを作成するための暗号化されたパラメータを受け取ります。

Trojan.Belonard.9 はプロキシゲームサーバーを作成し、Steam APIを使用してそれらを登録します。ゲームサーバーのポートは、サーバーによって指定された game_srv_low_port の最小値から順番に付けられます。サーバーはプロトコルエミュレータスレッドの数を決定する fakesrvbatch の値も設定します。エミュレータは Goldsource エンジンのゲームサーバーへの基本的な要求をサポートしています (A2S_INFO、 A2S_PLAYER、 A2A_PING、 "challenge steam/non-steam client"要求の受信、および Counter-Strike クライアントの "connect" コマンド)。 "connect" コマンドに応答した後、トロイの木馬はクライアントからの1番目のパケットと2番目のパケットを追跡します。

パケットのやり取りを行った後、トロイの木馬は DRC_CMD_STUFFTEXT タイプのメッセージと共に最後のパケット svc_director を送信します。これにより、 Counter-Strike クライアントの任意のコマンドを実行することが可能になります。この問題は2014年よりValve社の知るところとなっていますが、未だ修正されていません。こうして、ゲームプロキシサーバーに接続しようとしたプレイヤーは悪意のあるサーバーにリダイレクトされます。その後、このトロイの木馬の開発者はユーザーの使用するゲームクライアントの脆弱性を悪用して Trojan.Belonard をインストールすることができます。

Trojan.Belonard.9 にはバグが含まれており、そのバグが、このトロイの木馬によって作成された偽のゲームサーバーの検出を可能にしているいうことは注目に値します。また、これらのサーバーの中には名前で特定できるものもあります。 "Game" 列で、偽のサーバーには "Counter-Strike n" (nは1～3の数字です)という文字列が含まれています。

暗号化

Belonard は暗号化を使用してトロイの木馬にデータを保存し、サーバーと通信します。保存されるのは暗号化されたC&Cサーバーの名前、およびコード行とライブラリ名です。これには、個々のモジュールに対して異なる定数を持つ1つの暗号化アルゴリズムが使用されます。このトロイの木馬の古いバージョンでは、コード行を暗号化するために別のアルゴリズムが使用されていました。

Trojan.Belonard.2 の復号化アルゴリズム：

def decrypt(d):
  s = ''
  c = ord(d[0])
  for i in range(len(d)-1):
    c = (ord(d[i+1]) + 0xe2*c - 0x2f*ord(d[i]) - 0x58) & 0xff
  s += chr(c)
  return s


古いバージョンの復号化アルゴリズム：

def decrypt(data):
  s = 'f'
  for i in range(0,len(data)-1):
    s += chr((ord(s[i]) + ord(data[i]))&0xff)
  print s

Belonard は、より高度な暗号化を使用してC&Cサーバーとデータを交換します。サーバーに送信される前に、情報はモジュールごとに異なる構造に変換されます。収集されたデータは、マルウェア内に保存されている公開鍵を使用してRSAで暗号化されます。ただし、RSA暗号化が使用されるのはデータの最初の342バイトのみであるということに注意する必要があります。モジュールが342バイトを超えるデータのパケットを送信した場合、最初の342バイトのみがRSAで暗号化され、残りのデータはAESで暗号化されます。AESキーのデータはRSAキーで暗号化された部分に格納されています。そこには、C&Cサーバーがその応答を暗号化するために使用するAESキーの生成に必要なデータも格納されています。

パケットの先頭にゼロバイトが追加された後、データがC&Cサーバーに送信されます。サーバーは応答として、AESキーの検証に必要な、ペイロードのサイズとそのSHA256ハッシュに関する情報をヘッダーに含む暗号化されたパケットを送信します。

以下は、サーバーからの応答の例です。

#pragma pack(push,1)
struct st_payload
{
_BYTE hash1[32];
_DWORD totalsize;
_BYTE hash2[32];
_DWORD dword44;
_DWORD dword48;
_DWORD dword4c;
_WORD word50;
char payload_name[];
_BYTE payload_sha256[32];
_DWORD payload_size;
_BYTE payload_data[payload_size];
}
#pragma pack(pop)


復号化は、128ビットのブロックと先にサーバーに送信されたキーで、AES CFBモードで実行されます。ヘッダーの実際のペイロードを示す最後のDWORD値を含めて、データの最初の36バイトがまず初めに復号化されます。DWORD値はAESキーに追加され、SHA256を使用してハッシュされます。その結果のハッシュは復号化された最初の32のバイトと一致する必要があります。その後、受信したデータの残りの部分が復号化されます。

ボットネットのシャットダウン

Doctor Webでは、Belonard トロイの木馬を駆除し、ボットネットの拡大を阻止するべく必要なあらゆる措置を講じました。ドメイン名レジストラ REG.ru の協力により、マルウェア開発者によって使用されていたドメイン名の委任が停止されました。偽のゲームサーバーから悪意のあるサーバーへのリダイレクトはドメイン名を介して行われていたため、今後、CS 1.6プレイヤーが悪意のあるサーバーに接続して Belonard トロイの木馬に感染してしまうということはありません。これにより、マルウェアのほとんどすべてのコンポーネントの動作が中断されました。

Dr.Webのウイルスデータベースには Belonard のすべてのコンポーネントを検出するためのエントリが追加され、DGAに切り替えたモジュールについては監視が行われています。必要なすべての措置が取られた後、シンクホールサーバーには127の感染したゲームクライアントが登録されています。また、Doctor Webのテレメトリデータによると、Dr.Web のアンチウイルスによって、1004台のユーザーのデバイス上で Trojan.Belonard のモジュールが検出されています。

現時点では、ボットネットは無力化されたと考えることができます。しかしながら、 Counter-Strike ゲームクライアントの安全性を確保するためには、存在する脆弱性を解決する必要があります。

脅威存在痕跡 (Indicators of Compromise：IOC)

SHA-1ハッシュ

8bbc0ebc85648bafdba19369dff39dfbd88bc297 - Backdoored Counter-Strike 1.6 client
200f80df85b7c9b47809b83a4a2f2459cae0dd01 - Backdoored Counter-Strike 1.6 client
8579e4efe29cb999aaedad9122e2c10a50154afb - Backdoored Counter-Strike 1.6 client
ce9f0450dafda6c48580970b7f4e8aea23a7512a - client.dll - Trojan.Belonard.1
75ec1a47404193c1a6a0b1fb61a414b7a2269d08 - Mp3enc.asi - Trojan.Belonard.2
4bdb31d4d410fbbc56bd8dd3308e20a05a5fce45 - Mp3enc.asi - Trojan.Belonard.2
a0ea9b06f4cb548b7b2ea88713bd4316c5e89f32 - Mssv36.asi - Trojan.Belonard.10
e6f2f408c8d90cd9ed9446b65f4b74f945ead41b - FileSystem.asi - Trojan.Belonard.11
15879cfa3e5e4463ef15df477ba1717015652497 - Mssv24.asi - Trojan.Belonard.5
4b4da2c0a992d5f7884df6ea9cc0094976c1b4b3 - Mssv24.asi - Trojan.Belonard.5
6813cca586ea1c26cd7e7310985b4b570b920803 - Mssv24.asi - Trojan.Belonard.5
6b03e0dd379965ba76b1c3d2c0a97465329364f2 - Mssv16.asi - Trojan.Belonard.3
2bf76c89467cb7c1b8c0a655609c038ae99368e9 - Mssv16.asi - Trojan.Belonard.3
d37b21fe222237e57bc589542de420fbdaa45804 - Mssv16.asi - Trojan.Belonard.3
72a311bcca1611cf8f5d4d9b4650bc8fead263f1 - Mssv16.asi - Trojan.Belonard.3
73ba54f9272468fbec8b1d0920b3284a197b3915 - davapi.dll - Trojan.Belonard.6
d6f2a7f09d406b4f239efb2d9334551f16b4de16 - davapi.dll - Trojan.Belonard.6
a77d43993ba690fda5c35ebe4ea2770e749de373 - spwinres.dll - Trojan.Belonard.4
8165872f1dbbb04a2eedf7818e16d8e40c17ce5e - WinDHCP.dll - Trojan.Belonard.7
027340983694446b0312abcac72585470bf362da - WinDHCP.dll - Trojan.Belonard.7
93fe587a5a60a380d9a2d5f335d3e17a86c2c0d8 - wmcodecs.dll - Trojan.Belonard.8
89dfc713cdfd4a8cd958f5f744ca7c6af219e4a4 - wmcodecs.dll - Trojan.Belonard.8
2420d5ad17b21bedd55309b6d7ff9e30be1a2de1 - ssdp32.dll - Trojan.Belonard.9


ファイル名

client.dll - Trojan.Belonard.1
Mp3enc.asi - Trojan.Belonard.2
Mssv16.asi - Trojan.Belonard.3
spwinres.dll - Trojan.Belonard.4
Mssv24.asi - Trojan.Belonard.5
davapi.dll - Trojan.Belonard.6
WinDHCP.dll - Trojan.Belonard.7
wmcodecs.dll - Trojan.Belonard.8
ssdp32.dll - Trojan.Belonard.9
Mssv36.asi - Trojan.Belonard.10
FileSystem.asi - Trojan.Belonard.11


ドメイン名

csgoogle.ru
etmpyuuo.csgoogle.ru
jgutdnqn.csgoogle.ru
hl.csgoogle.ru
half-life.su
play.half-life.su
valve-ms.ru
bmeadaut.valve-ms.ru
fuztxhus.valve-ms.ru
ixtzhunk.valve-ms.ru
oihcyenw.valve-ms.ru
suysfvtm.valve-ms.ru
wcnclfbi.valve-ms.ru
reborn.valve-ms.ru


IPアドレス

37.143.12.3
46.254.17.165

2019年3月12日

株式会社Doctor Web Pacific

Dr. Webの統計によると、2月には1月と比較してユニークな脅威の数は9.73％減少しています。2月のマルウェアアクティビティは2018年12月のそれをわずかに上回る程度でしたが、いくつかの脅威については明らかな活発化がみられます。例えば、1月に活動が活発化した JS.Miner.28 はその後も増加を続け、その数はついに JS.Miner.11 を超えました。同時に、 Trojan.Starter.7394 は1月とくらべて 14.29% 増加し、一方で、 Trojan.DownLoader26.28109 の数には3倍の減少がみられます。また、Dr.Webの非推奨サイトのデータベースに追加されたURLの数は 1.68% 減少しました。テクニカルサポートの統計によると、ランサムウェアの被害に遭ったユーザーから提出されたアプリケーションの数も減少しています。

Doctor Web統計サーバーによる統計

2月の脅威：

Adware.Softobase.12

古くなったソフトウェアを拡散させ、ブラウザの設定を変更するアドウェアインストーラです。

Adware.Ubar.13

ユーザーのデバイス上に不要なプログラムをインストールするよう設計されたTorrentクライアントです。

Trojan.Starter.7394

被害者のデバイス上で別の悪意のあるソフトウェアを実行するよう設計されたトロイの木馬です。

Adware.Downware.19283

通常、海賊版ソフトウェアのインストーラとして拡散されているアドウェアの一種です。インストールされるとブラウザの設定を変更し、さらに、ユーザーの許可なしに別のソフトウェアをインストールする場合もあります。

Trojan.MulDrop8.60634

システムにマルウェアをインストールします。通常、インストールに必要なコンポーネントはすべて MulDrop 自体の中に格納されています。

数に減少が認められた脅威：

Trojan.Encoder.11432

WannaCryとしても知られる悪名高いランサムウェアです。ユーザーのデータを暗号化することでそこへのアクセスをブロックし、それらデータを復号化するための身代金を要求します。

Trojan.DownLoader26.28109

ユーザーの許可なしに悪意のあるソフトウェアをダウンロードして実行します。

メールトラフィック内で検出された脅威の統計

JS.DownLoader.1225

コンピューター上に別のマルウェアをダウンロードしてインストールするよう設計された、 JavaScript で書かれた様々な悪意のあるコードです。

W97M.DownLoader.2938

Officeアプリケーションの脆弱性を悪用するダウンローダ型トロイの木馬のファミリーです。感染させたシステムに別の悪意のあるプログラムをダウンロードするよう設計されています。

Exploit.ShellCode.69

CVE-2017-11882 と呼ばれる脆弱性を悪用する、また別の悪意のある Microsoft Office Word ドキュメントです。

Exploit.Rtf.CVE2012-0158

改変された Microsoft Office ドキュメントで、悪意のあるコードを実行するために脆弱性 CVE2012-0158 を悪用します。

JS.Miner.28

「CryptoLoot」と呼ばれる JavaScript マイナーです。ユーザーの許可なしにブラウザで仮想通貨 Monero をマイニングすることを目的としています。しばしば CoinHive マイナーの代わりに使用されます。

Trojan.PWS.Stealer.23680

感染したコンピューターに保存されているパスワードやその他の機密情報を盗むように設計されたトロイの木馬のファミリーです。

暗号化ランサムウェア

2019年2月に最も多かったDoctor Webテクニカルサポートサービスへの問い合わせは、以下の暗号化ランサムウェアに感染したユーザーからのものでした：

• Trojan.Encoder.858 – リクエストの31.39%
• Trojan.Encoder.18000 - リクエストの10.18%
• Trojan.Encoder.11464 - リクエストの4.67%
• Trojan.Encoder.11539 - リクエストの4.67%
• Trojan.Encoder.567 - リクエストの2.34%
• Trojan.Encoder.25814 - リクエストの2.34%

危険なWebサイト

2019年2月に非推奨サイトとしてDr.Webデータベースに追加されたURLの数は 288,159 件となっています。

モバイルデバイスを脅かす悪意のあるプログラムや不要なプログラム

2月には、Android OSを標的とする悪意のあるプログラムや不要なプログラムが多数、Doctor Webのアナリストによって発見されました。また、 Android.HiddenAds ファミリーに属するトロイの木馬を拡散させるための広告キャンペーンも確認されています。広告はYouTubeとインスタグラムに掲載され、動画や写真を編集するためのアプリケーションをダウンロードするようユーザーを誘うものでしたが、このアプリケーションにマルウェアが含まれているということが明らかになりました。

2月には Android.FakeApp ファミリーに属するマルウェアの新たな亜種がデータベースに追加されました。これらトロイの木馬は、多額の報酬を受け取ることができる調査に参加するよう促すサイトを開きます。報酬を受け取るために、ユーザーは手数料を払うか、または身元を確認するためのテスト送金を行うよう指示されます。ユーザーが同意すると犯罪者にお金が振り込まれ、その後ユーザーが報酬を受け取ることはありません。

そのほか、リモートコードを実行することで別のマルウェアをダウンロードする危険なトロイの木馬 Android.RemoteCode.2958 も拡散されました。感染させたデバイスをプロキシサーバーに変える Android.Proxy.4 も発見されています。 Adware.Sharf.2 および Adware.Patacore と呼ばれるアドウェアファミリーの新たな亜種もDr.Webのウイルスデータベースに追加されました。

2月の注目に値するモバイルセキュリティに関するイベントは以下のとおりです。

• Google Playから拡散される悪意のあるプログラム.

モバイルデバイスを標的とする悪意のあるプログラムや不要なプログラムに関する詳細はこちらのレビューをご覧ください。

2019年3月11日

株式会社Doctor Web Pacific

2019年の冬最後の月はAndroidデバイスユーザーにとって平穏なものとはなりませんでした。2月中旬、Doctor Webのスペシャリストによって、 Android.HiddenAds ファミリーに属する約40のトロイの木馬がGoogle Play上で発見されました。これらトロイの木馬は人気のソーシャルメディアやオンラインサービス内に表示される広告を介して拡散されていました。また、Android搭載スマートフォンやタブレットのユーザーは、詐欺スキームに使用されるトロイの木馬 Android.FakeApp、ダウローダ型トロイの木馬、およびその他の悪意のあるアプリケーションや不要なアプリケーションの標的となりました。

2月のモバイル脅威

2月、Doctor WebのマルウェアアナリストはGoogle Play上で Android.HiddenAds ファミリーに属する39のトロイの木馬を発見しました。犯罪者は、数百万のユーザーが利用するYouTubeやWhatsAppなどの人気の高いオンラインサービス上でこのトロイの木馬を積極的に宣伝していました。高性能な写真や動画の編集ツールとして宣伝されていますが、実際にユーザーのスマートフォンやタブレット上にインストールされるのは編集ツールとしてのわずかな機能のみを持ったトロイの木馬です。およそ1千万人のユーザーが被害に遭っています。

このトロイの木馬は他のプログラムやシステムインターフェースの前面に絶えず広告を表示させることで、ユーザーが感染したデバイスを操作することを困難にします。

この脅威の詳細については、こちらの記事をご覧ください。

Dr.Web for Androidによる統計

Android.Backdoor.682.origin

Android.Backdoor.2080

サイバー犯罪者から受け取ったコマンドを実行し、感染したモバイルデバイスのコントロールを可能にするトロイの木馬です。

Android.RemoteCode.197.origin

任意のコードをダウンロードして実行するように設計された悪意のあるアプリケーションです。

Android.HiddenAds.261.origin

Android.HiddenAds.659

広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Adware.Zeus.1

Adware.Patacore.1.origin

Adware.Patacore.168

Adware.Jiubang.2

Android.Toofan.1.origin

Androidアプリケーション内に組み込まれた不要なプログラムモジュールで、モバイルデバイス上に迷惑な広告を表示させるよう設計されています。

Google Play上の脅威

Google Play上ではトロイの木馬 Android.HiddenAds のほかに、 Android.FakeApp ファミリーに属する新たなトロイの木馬 Android.FakeApp.155、 Android.FakeApp.154、 Android.FakeApp.158 などを含む他のマルウェアも発見されています。これらトロイの木馬は詐欺に使用されていました。ユーザーは多額の報酬を受け取ることのできるオンライン調査に参加するためにアプリケーションをインストールするよう促されます。トロイの木馬はそれら「調査」のWebサイトを開き、そこでいくつかの簡単な質問に回答したユーザーは確認のための支払いを行うよう要求されます。その際、送金先は調査参加者ということになっています。ユーザーが支払いに同意した後、報酬を受け取ることはありません。

Androidユーザーはまた、さらに別のマルウェアをダウンロードするトロイの木馬 Android.RemoteCode.2958 による攻撃も受けました。このトロイの木馬は無害なゲームやアプリケーションを装って拡散され、インターネットから任意のコードをダウンロードします。

Android.Proxy.4 と名付けられたまた別のトロイの木馬は、サイバー犯罪者のネットワークトラフィックをリダイレクトさせるために、感染させたデバイスをプロキシサーバーとして利用するというものでした。他のマルウェア同様、このトロイの木馬も一見無害で便利なアプリケーションに隠されていました。

そのほか、Dr.Webのウイルスデータベースには、組み込まれた不要なモジュールである Adware.Sharf.2 が追加されました。このモジュールはソフトウェアウィンドウやシステムインターフェースの前面に広告を表示させます。 Adware.Sharf.2 はボイスレコーダー、GPSコンパス、QRコードスキャナーなどの様々なプログラム内で発見されています。

いくつかのゲームにも不要な広告モジュールが含まれていることが明らかになり、これらはDr.Webの分類により Adware.Patacore.2 および Adware.Patacore.168 と名付けられました。これらのモジュールもまた、迷惑なバナーを表示させます。

ますます多くの悪意のあるアプリケーションや不要なアプリケーションがGoogle Play上で検出されるようになっています。Androidを搭載するモバイルデバイスのユーザーは良く知られた信頼できる開発元からのアプリケーションのみをインストールし、他のユーザーによるレビューに気を付けるようにしてください。スマートフォンやタブレットを保護するために、Dr.Web for Androidをインストールすることをお勧めします。

2019年2月4日

株式会社Doctor Web Pacific

2019年1月、多くのマルウェアがAndroidデバイスを攻撃しました。1月上旬にはサイバースパイ行為を行うために設計されたトロイの木馬 Android.Spy.525.origin についてDoctor Webのウイルスアナリストによる調査が行われ、その後、複数のアドウェア型トロイの木馬が発見され、 Android.HiddenAds.361.origin および Android.HiddenAds.356.origin と名付けられました。また、ブックメーカーの公式アプリケーションを装って拡散される Android.Click ファミリーに属する新たなクリッカーが複数検出されたほか、スマートフォンやタブレット上にAndroidバンカーをダウンロードする Android.DownLoader ファミリーに属するダウンローダ型トロイの木馬も拡散されています。

1月のモバイル脅威

1月上旬、スパイウェア Android.Spy.525.origin がDr.Webのウイルスデータベースに追加されました。このスパイウェアは便利なアプリケーションを装ってGoogle Playから拡散されていたほか、訪問者をポピュラーなファイル共有リソース MediaFire にリダイレクトする悪質なWebサイトからも拡散されていました。 MediaFire にはトロイの木馬のコピーが置かれています。

Android.Spy.525.origin はC&Cサーバーからのコマンドに従って感染したスマートフォンやタブレットの位置情報を追跡し、テキストメッセージの履歴を盗み、通話に関する情報や電話帳のデータ、デバイスに保存されたファイルを取得し、フィッシングウィンドウを表示させることができます。

Dr.Web for Androidによる統計

Android.Backdoor.682.origin

サイバー犯罪者から受け取ったコマンドを実行し、感染したモバイルデバイスのコントロールを可能にするトロイの木馬です。

Android.RemoteCode.197.origin

任意のコードをダウンロードして実行するように設計された悪意のあるアプリケーションです。

Android.HiddenAds.261.origin

Android.HiddenAds.659

広告を表示させるよう設計されたトロイの木馬です。ポピュラーなアプリを装って別の悪意のあるプログラムによって拡散され、システムディレクトリ内に密かにインストールされる場合もあります。

Android.Mobifun.4

様々なアプリケーションをダウンロードするトロイの木馬です。

Adware.Zeus.1

Adware.AdPush.29.origin

Adware.Patacore.1.origin

Adware.Patacore.168

Adware.Jiubang.2

Androidアプリケーション内に組み込まれた不要なプログラムモジュールで、モバイルデバイス上に迷惑な広告を表示させるよう設計されています。

Google Play上の脅威

1月には Android.Spy.525.origin の他にもGoogle Play上で脅威が発見されています。初旬には Android.HiddenAds.361.origin と Android.HiddenAds.356.origin がウイルスデータベースに追加されました。これら悪意のあるプログラムは2018年12月の記事で紹介した Android.HiddenAds.343.origin の亜種で、便利なプログラムを装って拡散されていました。起動されると、自身のアイコンを隠し、広告を表示させます。

そのほか、Doctor Webのマルウェアアナリストは様々なダウンローダについて調査を行いました。 Android.DownLoader.4063、 Android.DownLoader.855.origin、 Android.DownLoader.857.origin、 Android.DownLoader.4102、 Android.DownLoader.4107 と名付けられたそれらトロイの木馬は、通貨コンバータや公式バンキングアプリケーションなどの便利なプログラムを装って拡散されていました。これらのトロイの木馬は、金融機関の口座から機密情報と金銭を盗むよう設計されたAndroidバンカーをモバイルデバイス上にダウンロードし、インストールしようと試みます。

そのようなバンキング型トロイの木馬の1つ Android.BankBot.509.origin は、2018年12月に報告した Android.BankBot.495.origin の亜種です。このバンカーはアクセシビリティサービスを使用してボタンやメニュー項目を自動的にタップすることで、インストールされているアプリケーションを密かに操作しようとします。 Android.BankBot.508.origin と名付けられたまた別のトロイの木馬はフィッシングウィンドウを表示させ、ユーザーの認証情報やその他の個人情報を盗もうとします。また、取引に必要な確認コードを含んだテキストメッセージを横取りします。

1月下旬、Doctor Webのエキスパートは Android.Click.651、 Android.Click.664、 Android.Click.665、 Android.Click.670を含む、 Android.Click ファミリーに属する新たなクリッカー型トロイの木馬を発見しました。ブックメーカーの公式アプリケーションを装って拡散されるこれらトロイの木馬は、C&Cサーバーからのコマンドに従って任意のWebサイトをロードすることが可能であることから、深刻な脅威となっています。

Doctor Webのスペシャリストはモバイルデバイスを狙ったウイルスの状況について監視を続け、悪意のあるプログラムや不要なプログラムを検出・削除するためにDr.Webウイルスデータベースを即時にアップデートしています。したがって、Dr.Web for Androidによって保護されているスマートフォンやタブレットに危害が及ぶことはありません。