TrendLabs | Malware Blog
「BKDR_REFPRON in New Mass Compromise」より
Aug 28, 2009 Det Caraig
トレンドマイクロのウイルス解析チームは、約5万5000の正規オンライン・ショッピング・サイトが大規模なWebサイト改ざんの被害を受けたと報告。第一報の段階では、アジアでは中国やインド、欧米ではカナダやイギリスのWebサイトで被害が確認されています。
続きを読むTrendLabs | Malware Blog
「BKDR_REFPRON in New Mass Compromise」より
Aug 28, 2009 Det Caraig
トレンドマイクロのウイルス解析チームは、約5万5000の正規オンライン・ショッピング・サイトが大規模なWebサイト改ざんの被害を受けたと報告。第一報の段階では、アジアでは中国やインド、欧米ではカナダやイギリスのWebサイトで被害が確認されています。
続きを読む
「More Zero-Day Exploits for Firefox and IE Flaws」より
Jul 21, 2009 Jovi Umawing
トレンドラボのシニア・ウイルス解析者 Joseph Reyes は、“Mozilla Firefox” および “Microsoft Internet Explorer(ActiveXコントロール)”のセキュリティホールを利用する不正スクリプトを確認しました。トレンドマイクロではこれら不正スクリプトをウイルスとして、以下のように警告を行っています。
ウイルス名 |
概要 |
このウイルスは”Microsoft Video ActiveX コントロールの脆弱性により、リモートでコードが実行される(972890):CVE-2008-0015”のセキュリティホールを利用し、ほかのウイルスをダウンロードします。 |
|
このウイルスは、Webサイトにアクセスし、「JS_SHELLCODE.BV」をダウンロードします。また、”Mozilla Firefox バージョン3.5” のセキュリティホール「Mozilla Foundation Security Advisory 2009-41:Mozilla Firefox の JavaScript エンジン(Tracemonkey コンポーネント)に任意のコードが実行される脆弱性:CVE-2009-2477」を利用し、「WORM_KILLAV.AKN」をダウンロードします。 |
|
このウイルスは、「JS_FOXFIR.A」のコンポーネントです。ウイルスは、エクスプロイトコード(セキュリティホールの存在を実証するためのプログラム)を含み、Webサイトにアクセスして、「WORM_KILLAV.AKN」をダウンロードします。 |
|
このウイルスは、リモートサイトにアクセスして、「JS_SHELLCODE.BV」をダウンロードします。また、”Microsoft Office Web コンポーネントの脆弱性により、リモートでコードが実行される(973472):CVE-2009-1136” のセキュリティホールを利用します。 |
「OCW ActiveX Exploit Follows MPEG2TuneRequest’s Lead」より
Jul 14, 2009 Det Caraig
先日、「Microsoft Video ActiveX コントロールゼロデイにより「WORM_KILLAV」侵入」について報告したばかりですが、新たに、同社製品 “Microsoft Office Web コンポーネント” のセキュリティホールを利用したゼロデイ攻撃が確認されました。このセキュリティホールは、ActiveXコントロールであるオブジェクト “OCW 10” および “OCW 11” に存在します。これらのオブジェクトは、IE(Internet Explorer)でスプレッドシートを表示する際に利用されます。まるで次の同社の「Patch Tuesday」にタイミングを合わせたかのように、サイバー犯罪者もまた、この攻撃で自身の「更新版」をリリースしました。
|
「MYDOOM Code Re-Used in DDoS on U.S. and South Korean Sites」より
Jul 9,2009 JM Hipolito
米国・韓国の大手Webサイトを襲った今回の分散型サービス拒否(DDoS)攻撃では、メールを介して感染活動を行うワームが、攻撃の主役となりました。
このワームは、トレンドマイクロの製品では「WORM_MYDOOM.EA」として検出され、メールの添付ファイルとして感染ユーザの受信箱に侵入します。ワームは、実行されると、自身をシステムサービス(WMI Performance Configuration および WmiConfig)として登録し、Windows起動時に確実に実行されるように設定します。そして、ワームは、コンポーネントファイルを作成し、このファイルをDDoS攻撃の標的リストと共に複数の感染コンピュータに拡散します。
次に、ワームは、感染コンピュータ上のIE(Internet Explorer)の<Temporary Internet Files>フォルダ内にある全ファイルからメールアドレスおよびドメイン名を収集します。ワームは、また、収集したドメイン名の先頭に、andrew、brenda、david、georgeといったユーザ名(詳細についてはこちら)を追記し、さらにメールアドレスを作成、追加します。このワームの脅威は、これだけではありません。ワームは、メールアドレス収集・追加作成だけにとどまらず、メール・サーバ・アドレスをも収集します。このサーバアドレスもメールアドレス同様、集めたドメイン名の先頭に特定の文字列を追記し、これにより、サーバアドレス収集が可能となります。ワームは、自身のSMTPエンジンを介してメールを送信する機能を備えており、自身のコピーをメールに添付し、上記の方法で作成したアドレスに送信することにより感染活動を実行します。ただし、コードには、「WORM_MYDOOM.EA」がメールにより拡散するように仕組まれていることが判明されていますが、トレンドラボでは、未だこのメールによる感染活動が成功裏に終わった検体を取得できていません。
トレンドマイクロのウイルス解析チームは、この不正プログラムおよび関連コンポーネントの正体を見破るために分析を続けており、有益な情報が入り次第、改めて投稿する予定です。
ワームは、ネットワーク分析ツールに関連したファイルを削除します。これにより、感染ユーザに気づかれることなく、DDoS攻撃ツールとして活動でき、標的とするWebサイトへのDDoS攻撃が可能となります(図1参照)。
「Zero-day MPEG2TuneRequest Exploit Leads to KILLAV」より
Jul 6,2009 Roland Dela Paz
7月7日早朝(日本時間)、トレンドラボは、Microsoft Video ActiveX コントロール(MsVidCtlオブジェクト)に存在するセキュリティホールを利用したゼロデイ攻撃(0-day attack)を確認しました。この攻撃により、およそ967の中国のWebサイトに不正スクリプトが組み込まれ改ざんされたと報じられています。この不正スクリプトは、ユーザを複数のWebサイトにリダイレクトし、最終的に、上記のセキュリティホールを利用する不正スクリプトを含む JPG ファイルをダウンロードします。このファイルは、トレンドマイクロの製品では「JS_DLOADER.BD」として検出されます。以下の画像は、「JS_DLOADER.BD」内の暗号化された不正コードのスクリーンショットです。
|
「Another Messy Mass Compromise Emerges」より
Jun 22,2009 Posted by Det Caraig
最近発生した大規模なWebサイト改ざん騒動(関連情報)の記憶がまだ新しいうちに、もう次の攻撃が確認されました。トレンドマイクロは、「Nine Ball」と呼ばれる、新たなWebサイト改ざん攻撃の出現に警戒を強めています。「Gumblar」という攻撃の名称は、攻撃で用いられた不正Webサイトの名称からとられましたが、「Nine Ball」も、攻撃に関連した不正Webサイト名にちなんでいます。ただ、「Nine Ball」攻撃の場合、ユーザが一連のリダイレクトを経てたどり着く不正Webページ(ランディングページ)が何百も存在し、ドメイン「Nine Ball」は、その1つにすぎません。 (さらに…)
続きを読むランサムウェアが近年、注目を浴びてきている。ランサムウェアとは一般に、感染するとユーザのコンピュータ内にある任意のファイルを暗号化し、元に戻すための暗号解除アプリケーションを売りつける、いわば身代金要求型不正プログラムである(ランサム = 身代金)。近ごろは、これに偽セキュリティソフトを絡めた多重アプローチが見られるようになり、より手の込んだ不正活動が目立つようになってきた。
今回は、ランサムウェアとしての代表的な動作であり、今年に入り確認された「TROJ_FAKEALE.BG」を例に、その全体像をご紹介する。
続きを読むフランスの通信社 AFP通信(AFP:Agence France-Presse)は6月1日、「エールフランス機、ブラジル沖で消息絶つ 乗員乗客228人が搭乗」のニュースを配信しています。
トレンドマイクロでは、事故発生直後よりインターネットの動向監視を強化してきました。その結果、航空機墜落事故に関するニュースの検索により、1万件以上の不正なリンクが表示されることを確認しています。また、これら不正リンクの一部には、リンクのクリックによりリダイレクトが行われ、偽セキュリティソフト、スケアウェア(scareware)の自動インストールが発生する場合があります。 (さらに…)
続きを読む感染が広がる豚インフルエンザ(新型インフルエンザ:H1N1亜型、Swine Flu)の影響はサイバー空間にも及んでいます。トレンドマイクロではインターネットを通じての豚インフルエンザ情報の収集に関して、慎重を期するよう注意喚起いたします。
リージョナルトレンドラボではこれまでに、豚インフルエンザに便乗した複数の攻撃事例を確認しています。
事例を知り、今後発生しうる模倣犯に対する対策をご検討ください。 (さらに…)
続きを読む
この事例に関するサポートページが公開されました。インストールした覚えのないアプリケーションのポップアップウィンドウが繰り返し表示される問題に遭遇されているユーザは、以下のサポートページをご参照ください。 http://esupport.trendmicro.co.jp/pages/JP-2079453.aspx http://esupport.trendmicro.co.jp/pages/JP-2079467.aspx http://jp.trendmicro.com/jp/support/personal/contact/remotesup/popupcleanup/ service/index.html?cm_sp=Sup-_-Consoma-_-securityblog_omakase_top |
ワンクリック詐欺は、従来からインターネット上の脅威の一つとして認識されていますが、年月と共にその騙しのテクニックもより巧妙となってきています。 ワンクリック詐欺に引っかかってしまうのはその存在を知らないという大前提もありますが、手口をよく知らないという側面も問題として考えられます。
今回はより巧妙化している現在のワンクリック詐欺サイトについて、最新事例を取り上げ、技術的な側面からその巧妙な手口をレポート致します。 (さらに…)
続きを読む