トレンドマイクロは、ファイルレスで拡散する新しいボット型マルウェアを確認し、「Novter（ノブター）」と名付けました。「Nodersok」および「Divergent」という名称でも報告されているこのマルウェアは、サイバー犯罪集団「KovCoreG（コブコア ジー）」の活動の下で2019年3月頃より拡散されてきました。弊社は、Novterの登場以来、積極的にその監視を続ける中で、頻繁な更新を確認しています。
(さらに…)
アンダーグラウンドのオンライン掲示板を利用する個人や集団の多くは、取引が確実に行われることを保証するために多大な努力を払っています。問題が発生した際の仲裁はもちろん、身元審査や、第三者が取引を仲介するエスクロー制度および預り金など、相互監視による「抑制と均衡（チェック・アンド・バランス）」の制度によってアンダーグラウンド市場は運営されています。皮肉なことに、アンダーグラウンドのオンライン掲示板においても、一般のオンライン掲示板と同様の「礼儀正しく倫理的な行動」を定めた規則が厳しく適用されています。本記事では、長期的な信頼と短期的な利益という観点からアンダーグラウンドにおけるサイバー犯罪者の振る舞いについて解説します。
■アンダーグラウンド市場における信頼
アカウントの序列
ほとんどのアンダーグラウンドのオンライン掲示板にはアカウントの序列が存在します。この序列は、多くの場合、アカウントの利用年数、活動レベル、評判、問題のある取引を埋め合わせるための預り金の額のように、いくつかの基本的で測定可能な指標に基づいて決定されます。
図1：オンライン掲示板におけるアカウントの序列
（右のアカウントほど序列が高い）
ワールドカップのようなイベントではセキュリティ上の問題が発生します。会場から観客、選手やチーム関係者まですべてを物理的に警備するだけでなく、サイバーセキュリティ対策も同様に重要です。
2018年6月14日から7月15日までロシアで開催された第21回目のFIFAワールドカップは、世界人口のほぼ半数が観戦するという、史上最も注目されたスポーツイベントの1つとなりました。数字だけを見てもその注目度がうかがえます。視聴率も驚異的でしたが、このイベントを主催したロシアは推定約120億米ドル（2018年11月20日時点で約1兆3,546億円）を費やし、FIFAや他の関係組織へは数十億米ドル（約数千億円）の収益をもたらしました。規模に関して言えば、この2018 FIFAワールドカップは他のイベントの中でも比類ないスポーツイベントとなりました。
もちろん、これだけ大規模なイベントとなるとセキュリティの問題が発生します。会場や観客、選手やチーム関係者まですべてを警備する物理的なセキュリティの問題がまず挙げられます。加えて、Facebookで約240万回のインタラクション、Twitterで約2,800万回のツイートを発生させた「第51回スーパーボウル （Super Bowl LI ）」の例が示すように、インターネット上でも人気を博す大規模スポーツイベントにおいては、 オンラインのセキュリティ対策も非常に重要です。
続きを読むトレンドマイクロでは日夜多くのサイバー攻撃を監視していますが、この 4 月 2 日前後から日本郵便を偽装する不審サイトを確認しています。この不審サイトは所謂「当選詐欺」サイトであり、最新スマートフォンの当選を理由に最終的に個人情報からクレジットカード情報までを入力させ、詐取することが目的と考えられます。また、トレンドマイクロの調査の結果、この当選詐欺サイトへの主な誘導経路は不正広告であることも確認しました。
図：今回確認された当選詐欺サイトの表示例（Android からアクセス）
正規サイトと誤解させるよう「post」という単語を入れたり、「.co.jp」と誤解させるよう「.co/jp」という文字列を URL に入れている
トレンドマイクロでは、日本にも影響が確認されている不正広告キャンペーン「AdGholas（アドゴラス）」に対し、監視と調査を継続しています。そして今回、「AdGholas」関連の攻撃でのみ利用が確認されている脆弱性攻撃ツール（エクスプロイトキット）「Astrum Exploit Kit （Astrum EK）」が不正トラフィックの検出を困難化させるため「Hyper Text Transfer Protocol Secure （HTTPS）」を利用していることを突き止めました。ブラウザとアプリケーション間の接続が「Transport Layer Security（TLS）」で暗号化される HTTPS は、ネットバンキングやオンラインショッピングなどの機密性が必要とされる通信を保護するために使用されていますが、それを悪用した活動と言えます。「Astrum EK」については「ディフィー・ヘルマン鍵交換（DH鍵交換）」を利用し、監視ツールあるいはセキュリティリサーチャによる不正ネットワークトラフィックの解析を阻止する手口が 2017年５月に確認されており、さらなる「改良」が加えられたものです。
続きを読むトレンドマイクロは、不正広告キャンペーン「AdGholas（アドゴラス）」について、ProofPoint の Kafeine氏と共に調査してきました。そして、ProofPoint は、2016年7月末、この調査結果を同社ブログ上にて報告しました。問題の不正広告キャンペーンは、2015年に開始され、最も活発な時には 1日当り百万人にものユーザに影響を及ぼし、その後 2016年に入り活動停止しました。この一連の不正広告活動において、エクスプロイトキット「Angler Exploit Kit（Angler EK）」と「Neutrino Exploit Kit（Neutrino EK）」が利用され、また、画像の中に不正コードを埋め込み隠ぺいする、「steganography（ステガノグラフィ）」の手法が利用されていました。
続きを読む2016年 8月中旬から「Chrome：ユーザー調査」と称する Web上の不審な表示を訴えるネット上の声が Twitter や各種 SNS などで見られています。トレンドマイクロでも同様の問い合わせを受けており、調査の結果、Chrome利用者だけでなく PC やモバイル利用者全体を対象に、最終的に利用者のクレジットカード情報を狙うフィッシングにつながる「アンケート詐欺」事例であることを確認しました。このようにアンケートやプレゼント当選の名目で利用者を誘導する手法は、昨年に本ブログで取り上げた「当選詐欺」の事例など、定期的に確認されており、いわばネット詐欺の「常とう手段」と言えます。今回のアンケートを偽装する手口も既に数年前から繰り返し見られている手法です。このような常とう化している攻撃に関してはその手口を周知することが有効な対策の1つとなりますので、本ブログ記事により繰り返される手口の注意喚起といたします。
図1: Chrome ユーザへのアンケート調査を偽装した Web表示の例
トレンドマイクロは、2016年3月13日以降、米国を狙う「malvertisement（不正広告）」の大規模な攻撃を確認しています。この攻撃により最終的に、Angler Exploit Kit（Angler EK）を使用した脆弱性攻撃サイトに誘導され、不正プログラムに感染することになります。この不正広告に汚染された Webサイトには、大手ニュースサイト、芸能ポータルサイト、政治論評サイトなどが挙げられ、この 24時間以内だけでも、のべ数万ものユーザがアクセスしていることが判明しています。弊社の解析によれば、問題の不正広告は、高い閲覧数を誇る人気の Webサイトの広告ネットワークが改ざんされたものとわかりました。
なお、人気の Webサイトのほとんどから不正広告は、3月15日（日本時間）時点で削除されており、3月16日時点でこの攻撃の停止を確認しています。ただし、攻撃インフラを更新している可能性もあるため、トレンドマイクロでは、引き続き動向を監視しています。
続きを読むエクスプロイトキットは2015年の脅威状況において、脅威連鎖の中核的存在でした。新たな脆弱性を素早く攻撃可能にすると同時に、「malvertisement（不正広告）」や改ざんされたWebサイト経由で広範囲に攻撃が拡散されていました。本ブログでは、これらのエクスプロイト動向についてトレンドマイクロが行った分析について2回に分けて報告いたします。第1回の今回は、新たに確認された脆弱性からエクスプロイトキットを利用した攻撃の一部として用いられた新しい手法など2015年におけるエクスプロイトキットの「改良」について、第2回は、トレンドマイクロのクラウド型対策技術基盤「Smart Protection Network（SPN）」から のフィードバックをもとに、エクスプロイトキットが与えた影響の規模、また、最も影響を受けた国や地域について報告します。
続きを読むPage 1 of 22
