セキュリティ業界では、Java を狙った新たなゼロデイ脆弱性が判明して以降、この脆弱性について注目しています。このゼロデイ脆弱性は、「スパイ活動」を主な目的としたサイバー攻撃「Nitro」による標的型攻撃で利用される中国の攻撃ツール(「Gondad」または「KaiXin」)から応用されたようです。そして、この脆弱性は、攻撃ツール「BlackHole Exploit Kit」を用いるサイバー犯罪の活動に一役買ったのです。これらの攻撃ツール開発の繋がりが明らかになり始めていますが、Nitro といった一連の標的型攻撃が無くなることはないため、再びこの活動が活発になってきたということではないことを念頭に置いておく必要があります。Nitro の攻撃者は、不正活動が報告された2011年以降から活動を続けているのです。
続きを読む2012年8月末、Oracle Java 7の “Java Runtime Environment (JRE)7 Update 6 ビルド1.7x” に存在する未修正の脆弱性「CVE-2012-4681(JVNTA12-240A)」が、特定のサイトに組み込まれた不正なJARファイルにより利用されたことが確認されました。問題の不正なJARファイルによってこの脆弱性が利用されると、最終的にバックドア型不正プログラムのダウンロードに誘導されることとなります。これにより、実質上、不正リモートユーザが目的とするコマンドをこの脆弱性の被害を受けたコンピュータ上で実行することが可能になります。
このゼロデイのエクスプロイトコードは、Internet Explorer(IE)や Firefox、Opera のすべてのバージョン上で実行されます。また、Metasploitの検証によると、Google Chrome および Safari 上でも実行されると報告されています。
続きを読む本ブログ記事は、中国のアンダーグラウンドについて解説するシリーズの第4弾です。これまでのブログ記事およびホワイトペーパーは、以下をご一読ください。
・中国のアンダーグラウンド事情について:最新リサーチの成果から
/archives/5725
・中国のアンダーグラウンド事情について:収益化の仕組み
/archives/5751
・中国のアンダーグラウンド事情について:仮想資産の窃取
/archives/5799
・China Education and Research Network Computer Emergency Response Team(CCERT)
http://igcc.ucsd.edu/publications/igcc-in-the-news/news_20120731.htm
第3の「バリューチェーン」は、「インターネット上における資源(機器および端末など)、またインターネットサービスの悪用」です。このバリューチェーンは、他のすべてのバリューチェーンを手助けするという点が特徴であるといえます。サイバー犯罪者にとって、自由に利用できる不正なサーバおよびボット無しでは、現実および仮想資産の窃取がより難しくなります。
続きを読むトレンドマイクロでは、スマートフォンの急速な普及とともに、Android OS を搭載したモバイル端末(以下、Android端末)を狙う不正プログラムが急増している傾向について、本ブログを通じて、随時報告してきました。
/archives/4697
/archives/4353
「TrendLabs(トレンドラボ)」では、VMware の仮想マシン上で拡散すると言われている不正プログラム「Crisis/MORCUT」に関する報告を受けました。この不正プログラムについてを取り上げた前回の記事では、この不正プログラムがMac OS X を狙うバックドア型不正プログラムであると言及しています。しかし今回、トレンドラボが入手した「MORCUT」の検体は、Windows上で実行され、興味深いことに、仮想ディスクをマウントします。その動作を行うにあたっては、VMwareの設定ファイルを確認してホストシステム上にインストールされている仮想マシンの場所を確認します。
続きを読む「TrendLabs(トレンドラボ)」は、“Adobe Flash Player” の脆弱性「CVE-2012-1535」が標的として悪用されているという報告を受けました。この脆弱性を利用する不正なファイルにより、バックドア型不正プログラムが作成されます。
続きを読む「TrendLabs(トレンドラボ)」では、2012年7月下旬、ファイル “services.exe” が未確認の不正プログラムによってパッチされたという報告を弊社製品をご利用のお客様より受けました。パッチされた “services.exe” は、トレンドマイクロの製品では、32bit 版搭載のコンピュータの場合「PTCH_ZACCESS」、64bit 版の場合「PTCH64_ZACCESS」として検出され「ZACCESS」というファミリのコンポーネントであることが確認されています。「ZACCESS(または ZEROACCESS)」は、パッチしたこのシステムファイルを利用して、コンピュータの再起動中に他の不正なコンポーネントを実行します。こうした点から、この更新されたファイルも、「ZACCESS」ファミリの亜種と見なされます。この亜種は、ユーザに気付かれないように自身の不正なコードを読み込むのに際して通常のルートキット機能ではなく、「user-mode (ユーザモード)」を悪用した「バイナリプランティング」という手法を用いる点で新しいと言えます。
続きを読むトレンドマイクロでは、本ブログを通じて、Forward-looking Threat Research チームの Nart Villenueveによるリサーチペーパー「Trends in Targeted Attacks(英語情報)」をもとに、持続的標的型攻撃の各攻撃ステージについて、これまで以下のように報告してきました。
持続的標的型攻撃を仕掛ける攻撃者は、一旦標的とするネットワークに侵入すると、その機会を最大限に活用します。この標的型攻撃で利用される不正プログラムは、侵入したネットワーク内で攻撃者の目となり耳となる役割を果たすことになります。このため、攻撃者は、不正プログラムとの通信手段を確立し、その不正プログラムがネットワーク内の有益な情報を確実に送信することが必要となります。また、この状態を継続しながら執拗に攻撃を仕掛け続けるためにも、自身の不正活動が検知されないように慎重に動く必要もあります。
続きを読む