「LokiBot」がアンダーグラウンドのオンライン掲示板において情報窃取およびキーロガー機能を持ったマルウェアとして初登場してから、数年にわたりさまざまな機能が追加されてきました。2018年1月下旬の活動では、LokiBotのマルウェアファミリが「Windows Installer」のインストールを利用したり、2019年6月には不正なISOファイルが添付されたスパムメールを含む新しい拡散手法を導入したことがわかりました。今回確認されたLokiBotの新しい亜種の解析では、活動を持続する仕組みが更新され、ステガノグラフィを通してコードを隠ぺいすることでシステム内での検出を回避する機能を改善したことが示されています。 (さらに…)
続きを読むある情報を画像のような別の情報の中に隠ぺいする手法は「steganography（ステガノグラフィ）」と呼ばれています。サイバー犯罪者は、セキュリティ対策ソフトによる検出を回避してマルウェアを拡散するために、以前からステガノグラフィを利用してきました。トレンドマイクロが最近確認した事例では、攻撃者が人気SNSに投稿したインターネットミームにマルウェアへのコマンドが隠ぺいされていました。インターネットミームとは、インターネットを通して拡散する画像や語句を指す言葉です。
■人気SNSを利用してマルウェアに指令
今回確認されたマルウェア（「TROJAN.MSIL.BERBOMTHUM.AA」として検出）の攻撃者は、2018年10月25日と26日の2回、Twitterにコマンドを隠ぺいしたミームを投稿していました。投稿に利用されたアカウントは2017年に作成されたものです。本記事執筆時点（2018年12月14日）で、このアカウントはTwitterによって停止されています。
図 1：コマンドを隠ぺいしたミームが投稿されたTwitterアカウント
「REDBALDKNIGHT（別名：BRONZE BUTLER、Tick）」は、主に日本の法人を対象として諜報活動を実行するサイバー攻撃集団です。標的には、バイオテクノロジー企業、電子機器製造企業、工業化学企業、および政府関連機関が含まれます。REDBALDKNIGHT の攻撃キャンペーンでは、バックドア型マルウェア「DASERFDASERF（別名：Muirim、Nioupale）」（「BKDR_DASERF」として検出）が利用されています。この DASERF は主に下記のような4つの機能を備えています。
- シェルコマンドの実行
- 情報のダウンロード／アップロード
- スクリーンショットの取得
- キー入力情報の記録
「脆弱性攻撃ツール（エクスプロイトキット）」の2016年動向を振り返ると、主要なエクスプロイトキットが姿を消すなど、大きな変化が見られた年でした。2016年5月から「Nuclear Exploit Kit（Nuclear EK）」が勢いを失い始め、6月には「Angler EK」の関係者50名近くがロシア連邦保安庁に逮捕され、このエクスプロイトキットも姿を消しました。2016年9月には「Neutrino EK」が依頼ベースの提供のみにシフトしたと報じられました。そして現在、最も広く出回っているエクスプロイトキットは「Rig EK」と「Sundown EK」です。両者は「Neutrino EK」が姿を消して間もなくしてから勢いを増し始めました。
特に「Sundown EK」は、他のエクスプロイトキットとは異なる特徴を示していました。このエクスプロイトキットは、旧来のエクスプロイトキットを再利用してはいるようですが、自身を隠ぺいする動作を行ないません。ブラウザ上で動画等が再生される際、通常はブラウザ拡張機能「Silverlight」が拡張子「XAP」のファイルをリクエストします。他のエクスプロイトキットでは、この「Silverlight」の動作を偽装することで自身の存在を隠ぺいしようとします。しかし、「Sundown EK」がホストされたURL ではこのような隠ぺい工作はされず、通常とは異なる、拡張子「SWF」の Flashファイルをリクエストします。また、他のエクスプロイトキットが利用するアンチクローリング機能も備えていません。
続きを読む2015年6月、ステガノグラフィを利用する「Stegoloader」と呼ばれる不正プログラムの感染が、北米の医療関連企業を中心に確認されたことが報告されました。2012年から活動が確認される「TROJ_GATAK」として知られるこの不正プログラムは、ステガノグラフィの手法を用いて画像ファイル（拡張子 PNG）にコンポーネントを隠ぺいします。
「ステガノグラフィ」とは、検出や解析を回避するために、ある情報を他の情報の中に埋め込んで存在を隠ぺいする手法です。なお、トレンドマイクロでは、今年5月にステガノグラフィに関する記事を公開しています（1、2、3）。
弊社が、「Stegoloader」による最近の感染状況を調査したところ、過去 3カ月間に感染した PC の大半は米国（66.82%）で、チリ（9.10%）、マレーシア（3.32%）、ノルウェー（2.09%）、フランス（1.71%）と続きます。
また、同期間に最も影響を受けた産業は、医療、金融、製造の順となっています。
図1：過去 3カ月に「TROJ_GATAK」の影響を受けた産業別割合
