トレンドマイクロは、「TrickBot」が、「販売時点情報管理（Point of Sales、POS）」システムを狙う新しいモジュールを追加したことを確認しました。TrickBotは元はシンプルなオンライン銀行詐欺ツール（バンキングトロジャン）でしたが、モジュールの追加によりさまざまな機能を追加してきたマルウェアです。最近では、2018年11月に、パスワード窃取モジュール「pwgrab32」が追加されたことを報告しました。本記事では、今回新たに確認されたPOSシステムを狙うモジュールについて解説します。この新モジュールは、感染PCが接続されたネットワークをスキャンし、POSに関連したサービスや機器を検索します。
続きを読むある情報を画像のような別の情報の中に隠ぺいする手法は「steganography（ステガノグラフィ）」と呼ばれています。サイバー犯罪者は、セキュリティ対策ソフトによる検出を回避してマルウェアを拡散するために、以前からステガノグラフィを利用してきました。トレンドマイクロが最近確認した事例では、攻撃者が人気SNSに投稿したインターネットミームにマルウェアへのコマンドが隠ぺいされていました。インターネットミームとは、インターネットを通して拡散する画像や語句を指す言葉です。
■人気SNSを利用してマルウェアに指令
今回確認されたマルウェア（「TROJAN.MSIL.BERBOMTHUM.AA」として検出）の攻撃者は、2018年10月25日と26日の2回、Twitterにコマンドを隠ぺいしたミームを投稿していました。投稿に利用されたアカウントは2017年に作成されたものです。本記事執筆時点（2018年12月14日）で、このアカウントはTwitterによって停止されています。
図 1：コマンドを隠ぺいしたミームが投稿されたTwitterアカウント
トレンドマイクロは、ボイスメッセンジャーアプリに偽装した複数のAndroid端末向け不正アプリをGoogle Playで確認しました。これらの不正アプリは、偽のアンケート調査ページを自動的にポップアップさせる機能や、広告の自動クリックのような機能を備えています。2018年10月以降、検出回避機能や多段階の感染挙動が追加されたこの不正アプリの亜種が、次々とGoogle Playで公開されています。解析した検体のモジュール化された機能には1.0というバージョンが付けられており、サイバー犯罪者は、ボットネットを利用した攻撃のような将来の不正活動に備えて機能を追加している過程にあると考えられます。感染数はまだそれほど多くありませんが、早いペースで開発とGoogle Playへの公開が進められています。この不正アプリのアップロード数およびダウンロード数の増加は、今後も継続的な監視が必要であることを示しています。問題の偽アプリはすでにGoogle Playから削除されています。
本記事では偽アプリの1つを例に挙げ、共通する挙動について解説します。トレンドマイクロは、７つのアプリケーションIDを特定し、検体を解析しました。すべての検体が類似したコードと挙動を備えていることから、今後もモジュールの追加とGoogle Playへの公開が続くと予想されます。
続きを読むトレンドマイクロは、SOHO（小規模または自宅事務所）用ルータを狙う新しい脆弱性攻撃ツール（エクスプロイトキット、EK）「Novidade EK」を確認しました。Novidade EK は、ユーザがすでにログインしている Web アプリケーションを介してクロスサイトリクエストフォージェリ（Cross Site Request Forgeries、CSRF）攻撃を実行し、ルータに接続された機器やデスクトップ PC からルータの Domain Name System（DNS）設定を変更します。ユーザが標的ドメインにアクセスすると、当該ドメインへのトラフィックが不正サイトの IP アドレスに名前解決され、攻撃者が管理するサーバにリダイレクトされます。
続きを読む2018年を通じ、世界的にフィッシング詐欺の攻撃が急拡大しました。また、7月前後からはメールの文面のみで脅迫する「簡略版セクストーション」スパムも登場し、世界各国で被害を与えました。トレンドマイクロでは、こうした最新の脅威動向や IT技術を取り巻く市場動向を基に、来年2019年のセキュリティ脅威予測を行いました。
■2019年のセキュリティ脅威予測
2018年までの脅威動向や市場動向を踏まえ、セキュリティの脅威がどのように変化していくのかについて、トレンドマイクロでは以下のカテゴリに対する予測を行いました。
- 個人利用者
- 企業・法人
- 社会・政治状況
- セキュリティ
- 産業制御システム
- クラウドインフラ
- スマートホーム
サイバー犯罪集団「Lazarus」の下位集団「Bluenoroff」は、アジアおよび中南米の金融機関を攻撃してきた歴史があります。2018 年 11 月上旬には、Lazarus がアジアおよびアフリカの ATM から数千万米ドル（2018 年 12 月 11 日時点で数十億円）を窃取したことが報告されているように、彼らの活動は最近再び活発化しているようです。
続きを読むAndroid 端末向け不正アプリ「XLOADER（エックスローダ）」および「FAKESPY（フェイクスパイ）」は、モバイル端末を狙う脅威状況の中で近年流行している ２ つのマルウェアファミリです。本ブログでも、XLOADER については 2018 年 4 月の記事で、FAKESPY については 2018 年 6 月の記事で報告しています。XLOADER は、正規アプリに偽装してユーザから個人情報および金融機関情報を窃取する不正アプリで、DNS キャッシュポイズニングまたは DNS スプーフィングと呼ばれる手法を利用して拡散します。正規アプリになりすます点は同じですが、FAKESPY は、テキストメッセージ（ショートメッセージ、SMS）を利用してユーザを不正な Web ページに誘導する「スミッシング（SMS＋Phishing）」によって拡散します。
2018 年 10 月の時点で、XLOADER および FAKESPY の検出数は、世界全体で合計 384,748 件となっており、その大部分は日本および韓国のユーザです。
図 1：Android 端末向け不正アプリ「XLOADER」および「FAKESPY」の月別検出数
トレンドマイクロは、David Quarta氏と共同で執筆したリサーチペーパー「The Fragility of Industrial IoT’s Data Backbone: Security and Privacy Issues in MQTT and CoAP Protocols」において、マシン・ツー・マシン（M2M）の通信プロトコル「MQTT」および「CoAP」に関する調査結果を公開しました。「MQTT」は産業用アプリケーションにおいて、「CoAP」はIoTや産業用IoTのデバイスにおいて、広く採用されているプロトコルです。攻撃者は、これらのプロトコルの設計および実装上の脆弱性を利用することにより、対象デバイスを「Denial of Service（DoS、サービス拒否）」状態に陥れることが可能になります。また、今回の調査を通して、設定に不備のある数十万台のホストが、認証情報、機密情報および産業に関連した処理データを露出していることも確認されました。
続きを読むワールドカップのようなイベントではセキュリティ上の問題が発生します。会場から観客、選手やチーム関係者まですべてを物理的に警備するだけでなく、サイバーセキュリティ対策も同様に重要です。
2018年6月14日から7月15日までロシアで開催された第21回目のFIFAワールドカップは、世界人口のほぼ半数が観戦するという、史上最も注目されたスポーツイベントの1つとなりました。数字だけを見てもその注目度がうかがえます。視聴率も驚異的でしたが、このイベントを主催したロシアは推定約120億米ドル（2018年11月20日時点で約1兆3,546億円）を費やし、FIFAや他の関係組織へは数十億米ドル（約数千億円）の収益をもたらしました。規模に関して言えば、この2018 FIFAワールドカップは他のイベントの中でも比類ないスポーツイベントとなりました。
もちろん、これだけ大規模なイベントとなるとセキュリティの問題が発生します。会場や観客、選手やチーム関係者まですべてを警備する物理的なセキュリティの問題がまず挙げられます。加えて、Facebookで約240万回のインタラクション、Twitterで約2,800万回のツイートを発生させた「第51回スーパーボウル （Super Bowl LI ）」の例が示すように、インターネット上でも人気を博す大規模スポーツイベントにおいては、 オンラインのセキュリティ対策も非常に重要です。
続きを読む
