ホーム » バックドア型マルウェア

Edge および Chrome の不正な拡張機能を確認、バックドア活動によりユーザの情報を窃取

投稿日:2018年5月30日
脅威カテゴリ:不正プログラム
執筆:Trend Micro

トレンドマイクロは、弊社も提携している、マルウェアや URL を分析する無料オンラインスキャンサービス「VirusTotal」を利用してマルウェアのテストを行っていると見られる一連のファイル提出活動を確認しました。ファイル名や提出元情報から、これは明らかにモルドバ共和国の同一のマルウェア開発グループによるテスト目的の提出だと推測されます。提出されたファイルは、Java または JavaScript で作成されたマルウェアをダウンロードおよび実行するダウンローダ「DLOADR（ディーローダ）」（「JS_DLOADR」および「W2KM_DLOADR」として検出）で、迷惑メールに添付した不正な文書ファイルを介して拡散することを意図していたようです。

DLOADR がダウンロードするマルウェア（「TROJ_SPYSIVIT.A」および「JAVA_ SPYSIVIT.A」として検出）は、感染 PC を乗っ取るために正規の「Remote Access Tool（RAT）」である「VisIT」をインストールします。さらには、ユーザが Edge または Chrome ブラウザ上で入力した情報をバックドア活動によって窃取する不正な拡張機能もインストールします。

正規 RAT の認証情報を窃取して悪用する手口は新しいものではなく、以前にも、マルウェア「TeamSpy」を拡散する迷惑メール送信活動で確認されています。TeamSpy は、正規リモートデスクトップツール「TeamViewer」を悪用し、感染 PC を遠隔から操作するマルウェアです。このように、「Chrome WebDriver」や「Microsoft WebDriver」のようなオープンソースツール、そして正規「Application Program Interface（API）」の悪用は、新しい手口ではないものの、依然として確かな脅威となっています。

(さらに…)

Android 端末を侵入用の裏口に変える不正アプリを「Google Play」上で確認

Android端末を侵入用の裏口に変える不正アプリを「Google Play」上で確認

トレンドマイクロは、2017 年 3 月末の時点で、Android 端末向けのバックドア型不正アプリ「MilkyDoor」（「ANDROIDOS_MILKYDOOR.A」として検出）が仕掛けられた 200 個のアプリを「Google Play」上で確認しました。その中には、50万～100万回インストールされたアプリも確認されています。どこからでも情報にアクセスできる利便性により、ますます多くのモバイル機器がプラットフォームとして利用される中、企業に大きな影響を与えるモバイル端末向け不正アプリによる感染も増加しています。

MilkyDoor は、「Socket Secure（SOCKS）プロトコル」を利用したプロキシを用いて、不正アプリに感染したモバイル端末が接続している内部ネットワークに足掛かりを築くという手法を用います。これは、2016年4月に確認された、企業の内部ネットワーク侵入の足掛かりとなる Android 端末向け不正アプリのファミリ「DressCode（ドレスコード）」（「ANDROIDOS_SOCKSBOT.A」として検出）に類似しています。MilkyDoor は、SOCKS プロキシを設置することによって、企業が予期せぬうちに、サイバー犯罪者がネットワークを偵察し脆弱なサービスにアクセスする手段を提供します。この不正活動はユーザが知らないうちに同意無しで実行されます。

(さらに…)

「WINNTI」、C＆C通信にGitHubを悪用

投稿日:2017年3月30日
脅威カテゴリ:不正プログラム, サイバー攻撃, TrendLabs Report
執筆:Threat Researcher - Cedric Pernet

「WINNTI」、C＆C通信にGitHubを悪用

開発者は、ソフトウェアのバージョン更新や、プロジェクトの管理と維持のためにこまめにソースコードを変更したり再加工したりする必要があります。そのような目的のために広く利用されている「GitHub」は、バージョン管理システムを提供するオンラインのリポジトリホスティングサービスです。ソースコードの管理・共有・合作・統合のための貴重なプラットフォームを提供している GitHubは、プログラマや開発者のためのソーシャル・ネットワーキング・サイトのように活用されています。

しかし、GitHubは悪用されることもあります。オープンソースのランサムウェアのプロジェクト「EDA2」と「Hidden Tear」は、教育目的を意図して作成されたはずでしたが、GitHubで公開されて以来、さまざまなランサムウェア亜種を生み出し、企業に損害を与えてきました。「モノのインターネット（Internet of Things、IoT）」機器の不具合を悪用するツールも GitHubで入手可能でした。標的型攻撃で利用されたキーロガー「Limitless」でさえ、GitHubのプロジェクトにリンクしていました。

(さらに…)