「独立行政法人情報処理推進機構(IPA)」は、2011年8月3日、「国内のインターネットバンキングで不正アクセスが相次いでいる」として不正プログラムや迷惑メールに対する注意喚起を行いました。本記事では2000年代中盤から主にインターネットバンキングを標的とした攻撃を行い、海外で多くの被害を生み出している通称「Zeus」や「SpyEye」に関連するトピックを中心にインターネットバンキングを標的とした攻撃を解説します。 |
(さらに…) 続きを読む
「独立行政法人情報処理推進機構(IPA)」は、2011年8月3日、「国内のインターネットバンキングで不正アクセスが相次いでいる」として不正プログラムや迷惑メールに対する注意喚起を行いました。本記事では2000年代中盤から主にインターネットバンキングを標的とした攻撃を行い、海外で多くの被害を生み出している通称「Zeus」や「SpyEye」に関連するトピックを中心にインターネットバンキングを標的とした攻撃を解説します。 |
政府系や有名企業を標的とすることを表明しているハッカー集団「LulzSec(ラルズセック)」。このラルズセックが他のハッカー集団「Anonymous(アノニマス)」と活動を共にすると表明したことで日本でもニュースになりました。そしてこのハッカー集団は、2011年6月22日、同集団のブラジル支部がブラジル政府の2つの Webサイトに「分散型サービス拒否(DDoS)攻撃」を仕掛けたと Twitter 上で表明しました。
「TrendLabs(トレンドラボ)」では、この攻撃に利用されたと思われる PC からボットクライアントのサンプルを入手しました。ラルズセックによる DDoS攻撃は、今回が初めてではなく、過去には、英国の「重大組織犯罪庁(SOCA)」や米国の上院、そして日本の大手電機メーカーなどの Webサイトが標的となったことが既に報道されています。
続きを読むトレンドマイクロは、2011年1月6日、『インターネット脅威年間レポート 2010年度(最終版)』を公開しました。一方、「TrendLabs(トレンドラボ)」が提供する英語ブログ「TrendLabs MALWARE BLOG」にて、グローバルにおける脅威状況の年間レポート(英語情報)が公開されています。
今回から4回にわたって、上記記事をもとに 2010年のグローバルにおける脅威トピックをご紹介していきます。
続きを読む
マルウェア解析の目的は場面に応じて様々ですが、目的の一つはマルウェア対策に有用な情報を得ることです。マルウェア対策の基本的な方法には、ファイルを検査してそのファイルがマルウェアかどうかを判別する手法があります。マルウェアと同じコード(バイナリ列)が検索対象ファイル内に存在するかを調べるパターンマッチング、そしてこの仕組みを応用して検出可能な範囲を拡大したヒューリスティック的な検索手法です。ファイルを検査するこれらの手法は、マスメーリングワームのように飛んでくる流れ弾をブロックするには高い効果を発揮しました。しかし現在の攻撃者は、事前に自身が作成したマルウェアの検出状況を確認し、検出されない状態のファイルを用意してから攻撃を開始することがあります。そこで登場してきたのが、色々な検出技術を多層的に組み合わせて総合的な防御力を高めようという考え方です。コンピュータ内で行われる不正と思われる振る舞い(自身を自動起動するよう設定するなど)の検知や、マルウェアが行う通信の検知など、層が増えれば増えるほどそのすべてを突破するのは困難になり、いずれかの検出技術で検出できる可能性が高まります。一つの絶対的な検出手法があればシンプルで分かりやすいのですが、そのような方法がない現状では採りえる最善の方法と言えるでしょう。しかし、防御する側が新たな対策を講じれば攻撃者はその対策手法を分析して対策の網をかいくぐろうとします。結果として攻撃手法はさらに巧妙さを増していくのです。前置きが長くなりましたが、今回ご紹介するのはそのような巧妙さを増したマルウェアの一例です。 |
TrendLabs | Malware Blog
「Koobface Abuses Google Reader Pages」より
Nov 09, 2009 Jonell Baltazar
「KOOBFACE」は、「Facebook」や「MySpace」、「Twitter」などのソーシャル・ネットワーキング・サイト(SNS)を悪用して不正活動するボットネットとしてよく知られています。今回、トレンドマイクロは、このボットネットが新たな手口を利用したことを確認しました。SNS上で不正URLをばら撒くために、Googleのフィードリーダー「Google リーダー」を悪用したのです。
続きを読むTrendLabs | Malware Blog
「The Internet Infestation, How Bad Is It Really?」より
Sep 16, 2009 Trend Micro Threat Research
セキュリティ業界では、感染コンピュータ上のマルウェア感染期間は、平均して6週間程度と試算していました。しかし、トレンドマイクロにおける最新の調査によると、この試算は実際の数値と大きくかけ離れていることを示唆していました。およそ1億にも及ぶ改ざんされたIPアドレスを分析したところ、その半数が、少なくとも300日間は感染状態であったということが判明。また、「最低でも1カ月は感染状態であったケース」にまでに範囲を広げると、改ざんされたIPアドレス数は、全体の80%にまで昇ります。
続きを読む
「MYDOOM Code Re-Used in DDoS on U.S. and South Korean Sites」より
Jul 9,2009 JM Hipolito
米国・韓国の大手Webサイトを襲った今回の分散型サービス拒否(DDoS)攻撃では、メールを介して感染活動を行うワームが、攻撃の主役となりました。
このワームは、トレンドマイクロの製品では「WORM_MYDOOM.EA」として検出され、メールの添付ファイルとして感染ユーザの受信箱に侵入します。ワームは、実行されると、自身をシステムサービス(WMI Performance Configuration および WmiConfig)として登録し、Windows起動時に確実に実行されるように設定します。そして、ワームは、コンポーネントファイルを作成し、このファイルをDDoS攻撃の標的リストと共に複数の感染コンピュータに拡散します。
次に、ワームは、感染コンピュータ上のIE(Internet Explorer)の<Temporary Internet Files>フォルダ内にある全ファイルからメールアドレスおよびドメイン名を収集します。ワームは、また、収集したドメイン名の先頭に、andrew、brenda、david、georgeといったユーザ名(詳細についてはこちら)を追記し、さらにメールアドレスを作成、追加します。このワームの脅威は、これだけではありません。ワームは、メールアドレス収集・追加作成だけにとどまらず、メール・サーバ・アドレスをも収集します。このサーバアドレスもメールアドレス同様、集めたドメイン名の先頭に特定の文字列を追記し、これにより、サーバアドレス収集が可能となります。ワームは、自身のSMTPエンジンを介してメールを送信する機能を備えており、自身のコピーをメールに添付し、上記の方法で作成したアドレスに送信することにより感染活動を実行します。ただし、コードには、「WORM_MYDOOM.EA」がメールにより拡散するように仕組まれていることが判明されていますが、トレンドラボでは、未だこのメールによる感染活動が成功裏に終わった検体を取得できていません。
トレンドマイクロのウイルス解析チームは、この不正プログラムおよび関連コンポーネントの正体を見破るために分析を続けており、有益な情報が入り次第、改めて投稿する予定です。
ワームは、ネットワーク分析ツールに関連したファイルを削除します。これにより、感染ユーザに気づかれることなく、DDoS攻撃ツールとして活動でき、標的とするWebサイトへのDDoS攻撃が可能となります(図1参照)。