トレンドマイクロは、2017年9月にも、古くからあるオンライン銀行詐欺ツール「EMOTET（エモテット）」がそのような不正なマクロを利用した手法で金融機関以外の業界や新しい地域へと対象を拡大する活動について報告しました。
不正なマクロと PowerShell を利用する「EMOTET」の感染フロー
不正なマクロと PowerShell を利用する「EMOTET」の感染フロー
「REDBALDKNIGHT（別名：BRONZE BUTLER、Tick）」は、主に日本の法人を対象として諜報活動を実行するサイバー攻撃集団です。標的には、バイオテクノロジー企業、電子機器製造企業、工業化学企業、および政府関連機関が含まれます。REDBALDKNIGHT の攻撃キャンペーンでは、バックドア型マルウェア「DASERFDASERF（別名：Muirim、Nioupale）」（「BKDR_DASERF」として検出）が利用されています。この DASERF は主に下記のような4つの機能を備えています。
- シェルコマンドの実行
- 情報のダウンロード／アップロード
- スクリーンショットの取得
- キー入力情報の記録
2017 年 10 月 19 日（現地時間）、IoT 機器を狙う「Reaper（リーパー、「ELF_IOTReaper.A」として検出）」が確認されました。報道によると、100 万以上の法人ネットワークに感染し、引続きその感染を拡大しています。Reaper を確認したセキュリティ企業「Check Point」および「Qihoo 360 Netlab」のリサーチャによると、Reaper で構成されるIoTボットネットは、2016 年末に確認された、Linux を搭載した IoT 機器を狙う「Mirai」よりも巧妙な手口を利用しており、潜在的な危険度も高いとのことです。事実、Reaper は Mirai のソースコードの一部を利用していますが、機器に感染する手法は異なります。
続きを読むモバイル端末の性能は、ある程度の仮想通貨を実際に発掘するには不十分だという疑いがあります。しかし、機器の消耗、電池の短命化、通常よりも重たい動作など、感染端末がユーザに与える影響は明確です。
トレンドマイクロは、2017年10月中旬、不正に仮想通貨を発掘する能力を備えたアプリを Google Play 上で確認しました。これらのアプリは、検出を逃れるために、JavaScript を動的に読み込み、ネイティブコードを追加する手法を利用します。トレンドマイクロは、これらの不正アプリを「ANDROIDOS_JSMINER（ジェイエスマイナー）」および「ANDROIDOS_CPUMINER（シーピーユーマイナー）」として検出しています。
続きを読むインターネット上で世論を操作する「サイバープロパガンダ」や、社会的および政治的な主張のもとでハッキングなどの手段を使って行動する「ハクティビズム」に関して、
- 誰が
- どこで関連ツールを入手し、技術を取得して
- どんな手口を使うのか
といった疑問が挙がってくるでしょう。その回答の 1つとして、少なくとも従来のサイバー犯罪者が関与していることは疑いの余地はありません。
トレンドマイクロは、リビアに拠点を置くサイバー犯罪者が、通常のサイバー犯罪と同時にサイバープロバガンダの活動も実行している事例を確認し、本稿で報告します。
続きを読む2017年10月15日（現地時間）、Wi-Fi通信のセキュリティプロトコル「Wi-Fi Protected Access 2（WPA2）」に存在する脆弱性が複数確認されたことが明らかになり、その詳細が同月16日に公開されました。報道によると、これら脆弱性は、「Key Reinstallation AttaCKs」という手法により悪用されることから「KRACK」と呼ばれ、「概念実証（Proof of Concept、PoC）」の攻撃コード（現時点で非公開、参考動画）により WPA2 の暗号化の仕組みを侵害します。
WPA2 は、安全な暗号化通信を実現するための Wi-Fi認証のセキュリティプロトコルです。今回はこの WPA2 の鍵管理に脆弱性が確認されました。攻撃者は KRACK を悪用して Wi-Fi端末機器と Wi-Fi のアクセスポイントの通信を傍受したり、場合によっては通信を乗っ取ることが可能となります。
今回の脆弱性のポイントは、以下の通りとなります。
- WPA2 のプロトコル自体の脆弱性であり、特定のオペレーションシステム（OS）などに依存せず影響がある
- 攻撃者は、これら脆弱性を利用して以下を実行することが可能である。
・通信の傍受、盗み見
・通信の乗っ取り、改ざん - 脆弱性の利用には、物理的に Wi-Fi に接続できる必要がある。多くの場合、中間者となることも必要。
プロパガンダ（宣伝工作）は、一般大衆の意見を誘導し世論を操作するために、国家や組織によって古くから利用されてきた効果的な手法です。冷戦時代には、欧米の各ラジオ局が欧米支持のメッセージを東欧諸国に向けて放送し、プロパガンダのツールとして利用することに成功しました。また、東西ドイツを再統一に導いた決定的な要因は、欧米のテレビ放送であったと考えられていることは、視覚媒体が持つ影響力の証拠となっています。テレビは、東欧の生活とはかけ離れた欧米の理想的な生活を見せつけました。プロパガンダを成功させるための重要な要因は、概して２つあります。１つは、価値のある有意な情報を収集すること、そしてもう１つは、強力な伝達経路を利用することです。メッセージが一般大衆に届かなければ、プロパガンダは成功しません。
続きを読む以来、トレンドマイクロでは、RETADUP の検体を継続して入手してきました。今回確認された亜種は、南米の特定の産業と政府を標的としていました。弊社は、「RETADUP」のファミリは、ごく少数の限られた攻撃者によって利用されていると考えています。アンダーグラウンド市場やフォーラムで販売または配布されているという証拠が見つかっていないためです。
続きを読むトレンドマイクロは、この Android端末を狙うマルウェア「ZNIU（ズィーニュー）」について Google に報告しました。これを受けて Google は、Google Play プロテクトのセキュリティ機能によって端末が保護されることを検証済みです。
「Dirty COW」と呼ばれる Linuxの脆弱性「CVE-2016-5195」が、2016年に初めて一般に公開されました。この脆弱性は、Red Hat のようなアップストリームの Linuxや、Linuxベースのカーネルを持つ Android などのプラットフォームに確認されました。攻撃者によってシステムのルート権限を取得される可能性のある深刻な権限昇格の脆弱性に分類されたものの、その後、Dirty COW を利用した Android端末への攻撃は確認されていませんでした。理由としては、Android端末主要モデルへの攻撃手法を確立するために時間を要したことが考えられます。それから約1年が経過し、トレンドマイクロは、Androidプラットフォームの脆弱性「Dirty COW」を狙う初の不正アプリ「ZNIU（「AndroidOS_ZNIU」として検出）」の検体を入手しました。
ZNIU は、2017年8月には世界中 40カ国以上で検出され、そのほとんどが中国およびインドで確認されています。米国、日本、カナダ、ドイツ、インドネシアでも検出され、本記事執筆時点（2017年9月25日）、5,000人を超えるユーザに影響を与えています。トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の情報によると、ZNIUが仕込まれた不正アプリ 1,200余りが、不正な Webサイト上で確認されています（※）。不正アプリには、Dirty COW の脆弱性を攻撃できるルートキットが含まれ、ポルノやゲームアプリなどとして偽装されています。
続きを読む
