トレンドマイクロは、マクロを含むWord文書が添付されたスパムメールがオンライン銀行詐欺ツール（バンキングトロジャン）「Trickbot」の新しい亜種（「TrojanSpy.Win32.TRICKBOT.TIGOCDC」として検出）を拡散していることを確認しました。この文書ファイルをクリックすると、ペイロードとしてTrickbotをダウンロードする重度に難読化されたJavaScriptファイルが作成されます。このスクリプトは感染PCで実行中のプロセス数をチェックし、少ない場合、仮想環境で実行されていると判断して活動を停止します。
このスクリプトは、情報窃取機能に加え、外付けディスクおよびネットワークディスク内の特定の拡張子を持つファイルを削除し、自身のコピーに置き換える機能を備えています。トレンドマイクロのデータによると、今回の活動は米国で最も多く確認されています。問題のスパムメールは、中国、カナダ、そしてインドでも拡散されていました。
図1は今回確認されたTrickbotの感染の流れです。
(さらに…)
トレンドマイクロは、スパムメールに記載されたリダイレクトURLを利用して拡散するバンキングトロジャン「Trickbot」の亜種（「TrojanSpy.Win32.TRICKBOT.THDEAI」として検出）を確認しました。この亜種は、「url?q=<不正なURL>」のようなクエリ文字列（URLパラメータ）を利用してユーザを不正なURLにリダイレクトします。そして、この特定の事例では、「hxxps://google[.]dm:443/url?q=<TrickbotのダウンロードURL>」のようにリダイレクト元のURLとしてGoogleが利用されました。正規URLからリダイレクトするこの手口は実際にスパムメールが届いた際、Trickbotをブロックする可能性のあるスパムフィルタを回避することに役立ちます。
(さらに…)
トレンドマイクロは、「TrickBot」が、「販売時点情報管理（Point of Sales、POS）」システムを狙う新しいモジュールを追加したことを確認しました。TrickBotは元はシンプルなオンライン銀行詐欺ツール（バンキングトロジャン）でしたが、モジュールの追加によりさまざまな機能を追加してきたマルウェアです。最近では、2018年11月に、パスワード窃取モジュール「pwgrab32」が追加されたことを報告しました。本記事では、今回新たに確認されたPOSシステムを狙うモジュールについて解説します。この新モジュールは、感染PCが接続されたネットワークをスキャンし、POSに関連したサービスや機器を検索します。
続きを読むトレンドマイクロでは、日本にも影響が確認されている不正広告キャンペーン「AdGholas（アドゴラス）」に対し、監視と調査を継続しています。そして今回、「AdGholas」関連の攻撃でのみ利用が確認されている脆弱性攻撃ツール（エクスプロイトキット）「Astrum Exploit Kit （Astrum EK）」が不正トラフィックの検出を困難化させるため「Hyper Text Transfer Protocol Secure （HTTPS）」を利用していることを突き止めました。ブラウザとアプリケーション間の接続が「Transport Layer Security（TLS）」で暗号化される HTTPS は、ネットバンキングやオンラインショッピングなどの機密性が必要とされる通信を保護するために使用されていますが、それを悪用した活動と言えます。「Astrum EK」については「ディフィー・ヘルマン鍵交換（DH鍵交換）」を利用し、監視ツールあるいはセキュリティリサーチャによる不正ネットワークトラフィックの解析を阻止する手口が 2017年５月に確認されており、さらなる「改良」が加えられたものです。
続きを読む「RawPOS（ローポス）（「TSPY_RAWPOS」として検出）」は、「販売時点情報管理（Point of sale 、POS）」を狙い、メモリ上の情報を収集する POSマルウェアでも最も古いファミリです。しかし、トレンドマイクロは、現在も非常に活発に不正活動していることを確認しています。RawPOS の背後にいる犯罪者集団は、市場規模が大きく実入りのいいホテルやサービス産業を第一の標的にしています。トレンドマイクロは、RawPOS のコンポーネントや情報探索のためのツールに変化はありませんが、今回、運転免許証の情報窃取などの不正活動を新しく確認しました。こうした不正活動によって窃取された情報により、サイバー犯罪者による個人情報窃取とそれに伴う被害が発生する恐れがあります。
図1：2009年から2014年に検出された POSマルウェアのファミリ
続きを読む2016年10月18日、「割賦販売法の一部を改正する法律案」が閣議決定され、第192回臨時国会に提出されることになりました。この改正法律案には、クレジットカード情報の適切な管理、販売業者に対する管理強化、FinTech（フィンテック）の更なる参入を見据えた環境整備、特定商取引法の改正に対応するための措置といった、大きく 4つの項目が盛り込まれています。クレジットカード情報を狙ったサイバー犯罪が横行する中で大きな動きの一つとなりそうです。
今回の改正案の中でも特に注目すべきが、「クレジットカード情報の適切な管理等」のポイントです。これは、クレジットカード情報の漏えい対策や、決済端末の ICチップ付きクレジットカード対応といった、クレジットカード情報の適切な管理ならびに不正使用の防止を販売業者に対して義務付けるというものです。これらの対応が必要とされる背景には、クレジットカード情報の窃取や不正使用といったサイバー犯罪の世界的な増加があります。
今月公開した記事にもある通り、クレジットカード情報を窃取するサイバー犯罪の一つには、ECサイトのようなクレジットカード情報を処理、保持する企業やシステムを狙った脅威があります。もう一つは、小売業など店頭でクレジットカードを取り扱う企業やシステムを狙ったサイバー犯罪です。クレジットカード決済やネットショッピングの世界的な普及に伴い、クレジットカード情報の窃取や偽造カードによる不正な決済といった犯罪の防止は、クレジットカードを取り扱うすべての事業者に求められるものになっています。
続きを読む「販売時点情報管理（Point of sale 、POS）」を狙う POSマルウェアのほとんどは、POS端末のメモリ情報の収集、同端末メモリの読み取り（RAMスクレイピング）、情報の保存と送出という手順を踏みます。しかし「FastPOS（ファストポス）」（トレンドマイクロでは「TSPY_FASTPOS.SMZTDA」として検出対応）は、これまでの亜種と異なり、仲介手順を省略し、クレジットカード情報窃取後、直ちにコマンド＆コントロール（C&C）サーバへ情報送出します。
続きを読む膨大な量の個人情報を保有する医療機関は、サイバー犯罪者の格好の標的となる恐れがあります。大抵の医療機関は、クレジットカード情報や診療記録、健康保険証、個人番号、社会保障番号など、さまざまな情報を保有しています。米国における最大級の非営利の医療機関である「Banner Health」は、2016年8月、巧妙なサイバー攻撃を仕掛けられました。この事例からサイバー犯罪者が以前にも増して医療機関が有する情報を狙っていることがわかります。この Banner Health の情報漏えいの事例において、307万人分の個人情報と財務データが窃取されています。
続きを読む
