攻撃者集団「Iron Tiger」による東南アジアのギャンブル企業を標的とした攻撃キャンペーン「Operation DRBControl」が確認されてから1年以上が経過しましたが、この度「Iron Tiger」が引き続きギャンブル業界を狙っている証拠が新たに確認されました。
このブログ記事では、Iron Tigerが攻撃に使用するツールキットが更新され、従来3つのファイルを使用して感染させるマルウェアであった「SysUpdate」が5つのファイルを使用するものへ変更された点について解説します。また、これまでに確認されている類似の「TTPs（＝Tactics, Techniques and Procedures：戦術、技術、手順）」から考察される他の攻撃者グループとの関連性について説明します。最後に、Iron Tigerが使用するルートキットについて解説します。中でもカーネルレベルでファイルを隠蔽するために使用されるルートキットは、これまでIron Tigerによる使用が確認されていなかったものです。
続きを読む仮想通貨人気が続く中、サイバー犯罪者はさまざまな仮想通貨発掘マルウェアを開発し、継続的に微調整を加えながら攻撃に利用しています。事実、トレンドマイクロは、広範なプラットフォームおよびデバイスで一貫して仮想通貨発掘マルウェアを検出しています。
2018年10月には、Linux PC に感染する仮想通貨発掘マルウェア（「Coinminer.Linux.KORKERDS.AB」として検出）が確認されました。このマルウェアには、不正な仮想通貨発掘プロセスを監視ツールから隠ぺいするルートキットコンポーネント（「Rootkit.Linux.KORKERDS.AA」として検出）が付属しています。これにより、ユーザは不正なプロセスの存在に気付くことが困難になり、感染を示す兆候は PC のパフォーマンス低下のみとなります。また、このマルウェアは、自身とその設定を更新する機能も備えています。
続きを読む依然として世界中で確認されているボットネット「Andromeda」。このボットネットは、2011年に初めて報告され、「Blackhole Exploit kit（BHEK）」関連のスパムメールなどが発端となり、キーロガーやSOCKSプロキシ、ルートキットなどを拡散する際に利用されています。トレンドマイクロは、2013年3月上旬、新たな改良が加えられた Andromeda を再び確認。そして今回、このボットネットに大幅な改良が加えられる投稿をアンダーグラウンドフォーラムで確認しました。
続きを読む| トレンドマイクロでは、2013年第1四半期に日本および世界で確認した脅威の概要を、「2013年第1四半期セキュリティラウンドアップ：『攻撃の矛先は、「ソーシャル」、「クラウド」、「非Windows」へ』」としてまとめました。 |
トレンドマイクロの CTO である Raimund Genes は、「2013年におけるセキュリティ予測」のなかで、既存の攻撃ツールの改良に焦点が当てられ、新たな攻撃ツールが確認されることを予測しています。その予測通り、「Whitehole Exploit Kit（WHEK）」と呼ばれる新たに台頭しつつあるエクスプロイトキットが確認されています。Whitehole Exploit kit という名称は、「Blackhole Exploit Kit（BHEK）」と区別するために無作為につけられたものです。WHEK は、BHEK と類似したコードを利用しますが、BHEK は、”plugindetect.js” の利用を隠ぺいするために JavaScript を利用する一方で、WHEK は、そういったことを行ないません。WHEK は、隠ぺいすることなく直接 “plugindetect.js” を利用します。
続きを読む「TrendLabs（トレンドラボ）」では、2012年7月下旬、ファイル “services.exe” が未確認の不正プログラムによってパッチされたという報告を弊社製品をご利用のお客様より受けました。パッチされた “services.exe” は、トレンドマイクロの製品では、32bit 版搭載のコンピュータの場合「PTCH_ZACCESS」、64bit 版の場合「PTCH64_ZACCESS」として検出され「ZACCESS」というファミリのコンポーネントであることが確認されています。「ZACCESS（または ZEROACCESS）」は、パッチしたこのシステムファイルを利用して、コンピュータの再起動中に他の不正なコンポーネントを実行します。こうした点から、この更新されたファイルも、「ZACCESS」ファミリの亜種と見なされます。この亜種は、ユーザに気付かれないように自身の不正なコードを読み込むのに際して通常のルートキット機能ではなく、「user-mode （ユーザモード）」を悪用した「バイナリプランティング」という手法を用いる点で新しいと言えます。
続きを読む「TrendLabs（トレンドラボ）」では、Mac OS X を狙った新たな不正プログラムを確認。トレンドマイクロの製品では、これを「OSX_MORCUT.A」として検出します。これは Mac OS X の最新バージョン 10.8 である「Mountain Lion」がMac App Store でリリースされたのと同じタイミングで発見されました。
続きを読むトレンドマイクロは、2012年6月11日、「DNS設定の変更を行なうトロイの木馬型の不正プログラム（DNSチェンジャー）」の感染被害者の救済目的で設置されている安全な DNSサーバの運営期限があと 1カ月に迫っていることを本ブログ上で報告しました。DNSチェンジャーに感染した 400万以上のボットにより形成された巨大な「DNS改変型ボットネット」が閉鎖され、2011年11月8日、「Rove Digital」や「Esthost」という会社を通じてこのボットネット運営に関与していたサイバー犯罪者集団が検挙されてから数カ月経っていますが、この巨大ボットネットに関する問題はまだ解決されていません。「DNS Changer Working Group（DCWG）」によると、いまだ 30万人以上の PC が DNSチェンジャーに感染した状態であるとのこと。DNSチェンジャーの感染被害者の PC は、今月 9日に救済目的で設置されていた安全な DNSサーバが停止すると、インターネットに接続することができなくなります。
続きを読む
