2014年4月22日

株式会社Doctor Web Pacific

春最初の月である3月、Doctor Webのウイルスデータベースには新たな脅威が多数追加されました。3月初旬にはATMを感染させるトロイの木馬が発見され、中旬にはWi-Fiルーターをハッキングする悪意のあるプログラムが出現しました。また、Androidを狙った新たな脅威も多く発見されています。

ウイルス

Dr.WebCureIt!によって収集された統計によると、2014年3月に最も多く検出された脅威は感染させたシステム上にアドウェアやリスクウェアをインストールするTrojan.Packed.24524で、広告トロイの木馬であるTrojan.InstallMonster.51、Trojan.LoadMoney.15、Trojan.LoadMoney.1が順に続いています。また、ブラウザプラグインとして導入され、開かれたwebページ上に広告などを表示させるTrojan.BPlugプログラムも複数発見されています。以下の表は、3月にDr.WebCureIt!によって最も多く検出された脅威です。

ボットネット

Doctor Webでは、ファイルインフェクターWin32.Rmnet.12に感染したWindowsコンピューターによって構成されるボットネットの監視を続けています。このボットネットは拡大を続けており、１つ目のサブネットに含まれるボット数は3月には24万4430台に達し、2つ目のサブネットではやや少ない15万7343台となっています。一方、Trojan.Rmnet.19に感染したコンピューターの数には減少がみられ、3月末には2月に比べて457台少ない2,066台となっています。

BackDoor.Flashback.39ボットネットに含まれる感染したMac OS Xの台数には変動がみられ、3月には2万5912台となっていますが、C&Cサーバーに接続した全てのコンピューターが前月までに既に感染しているコンピューターでした。

その他の3月の脅威

3月の初旬、Doctor Web はATMを感染させるTrojan.Skimer.19の発見について報告しました。

ATMのOSを感染させると、Trojan.Skimer.19は暗号化PINパッド（EPP：Encrypted Pin Pad）への入力を監視し、特定の組み合わせが入力されると、犯罪者からのコマンドを実行します。それらのコマンドには以下のものがあります。

• ログファイルをチップカード上に保存、PINコードを復号化する。
• トロイの木馬ライブラリおよびログファイルを削除し、ホストファイルを「修復」、システムを再起動させる（犯罪者はATMに対して2回コマンドを送信します。最初のコマンドが送られてから2つ目のコマンドが送られるまでに10秒かかります）。
• トランザクション数、カードやキーなどの統計情報を表示する。



• ログファイルを全て削除する。
• システムを再起動させる。
• チップカードからトロイの木馬をアップデートする。

Trojan.Skimer.19に関する詳細についてはこちらの記事をご覧ください。

3月には、ブルートフォースを使用してWi-Fiルーターのアクセスパスワードを解読し、デバイスの設定で指定されているDNSサーバーアドレスを変更するマルウェアTrojan.Rbruteプログラムも発見されました。このトロイの木馬は、指定されたIPアドレスの範囲を使用してネットワークをスキャンする、辞書攻撃を行う、という2つのコマンドを実行することができます。これら2つのコマンドはそれぞれ独立したもので、トロイの木馬によって別々に実行されます。

犯罪者はこのマルウェアを使用して、ファイルインフェクターWin32.Sectorを拡散していました。この悪意のあるプログラムについての詳細はこちらの記事をご覧ください。

モバイル脅威

3月にはAndroidを狙った脅威が複数発見されました。3月初旬、Android.Dendroid.1.originとしてDr.Webウイルスデータベースに追加された新たなトロイの木馬の拡散がありました。このマルウェアはAndroidアプリケーション内に埋め込まれ、通話やSMSを傍受する、デバイスの現在位置を取得する、ブラウザの履歴とブックマークに関するデータを取得する、ユーザーのアカウントデータとアドレス帳の情報を盗む、SMSを送信する、デバイスのカメラとマイクを起動させる、といった機能を実行します。Android.Dendroid.1.originはアンダーグラウンドでのハッカーフォーラムにて販売されており、Androidを標的とした違法なサービスを提供するマーケットが拡大を続けていることが分かります。

3月の中旬にはユーザーのデータを狙うまた別のトロイの木馬Android.Backdoor.53.originが発見されました。このマルウェアの拡散には、ユーザーによるモバイルデバイスのリモート操作を可能にするための正規アプリケーションWebkeyが利用されていました。オリジナルのアプリケーションとは異なり、改変されたWebkeyはGUIを持たず、インストール後はメイン画面から自身のアイコンを削除することでシステム内に潜みます。起動されるとAndroid.Backdoor.53.originはデバイスのIDをリモートサーバーへ送信し、デバイスが感染したことを知らせます。続けて犯罪者がデバイスのコントロールを掌握し、個人データやハードウェアの機能にアクセスします。

3月末には、主に中国のユーザーを標的としたAndroid.DownLoaderファミリーが登場しました。これらのトロイの木馬はプログラムの違法なプロモーションによって利益を得るために、正規アプリケーションの他に悪意のあるプログラムをダウンロード・インストールします。マルウェアがルートアクセスを取得している場合、アプリケーションはユーザーに気づかれることなくインストールされてしまうことから、このトロイの木馬は非常に危険であると言えます。また、このマルウェアはインターネットトラフィックを増大させるため、インターネット接続に制限のあるプランでモバイルデバイスを使用しているユーザーに対して金銭的被害を与える可能性もあります。

また、3月には、暗号通貨（仮想通貨）をマイニングするトロイの木馬が複数Dr.Webウイルスデータベースに追加されました。これらの悪意のあるプログラムは改変されたアプリケーションに含まれて拡散され、感染させたモバイルデバイスがスタンバイモードになると動作を開始します。その結果として、バッテリーの寿命が短くなるだけでなく、継続的なコンポーネントの動作によってデバイスの温度が高くなり、ひいてはデバイス自体の寿命に影響を及ぼすことになります。また、これらのトロイの木馬もインターネットトラフィックを増大させるため、莫大なインターネット使用料金を請求されてしまうケースもあります。Dr.Web for AndroidはAndroid.CoinMineファミリーとしてこれらの脅威を検出します。

韓国のAndroidを標的とした、SMSスパムを介して拡散されるマルウェアの数には2月に比べて113.3%の増加がみられました。Doctor Webでは合計で192件が検出され、多く検出されたトロイの木馬はAndroid.Spy.64.origin（86件）、Android.SmsSpy.53.origin（26件）、Android.SmsSpy.78.origin（18件）、Android.Spy.40.origin（13件）、Android.MulDrop.14.origin（12件）、Android.SmsSpy.65.origin（10件）となっています。

3月にメールトラフィック内で検出されたマルウェアTop20

3月にユーザーのコンピューター上で検出されたマルウェアTop20