ホーム » 仮想通貨

「ファイル感染型コインマイナー」を確認。既存ランサムウェアのコードを再利用

投稿日:2018年4月19日
脅威カテゴリ:不正プログラム, サイバー犯罪, TrendLabs Report
執筆:TrendLabs フィリピン

サイバー犯罪者は金儲けの機会として仮想通貨に注目し、他者のリソースを乗っ取って仮想通貨の発掘(マイニング)を行う不正マイニングに仮想通貨発掘ツール（コインマイナー）を利用しています。そして、2018年に入り、仮想通貨をマイニングするマルウェアが頻繁に確認されています。トレンドマイクロは、4月だけでも既に、仮想通貨「Monero（XMR）」をマイニングする Android 端末向け不正アプリ「HIDDENMINER（ヒドゥンマイナー）」や、Web広告の改ざんによる仮想通貨発掘ツール（コインマイナー）の拡散などの事例を報告しています。そして今回、トレンドマイクロでは、ファイル感染型ウイルスの活動を併せ持つ、いわば「ファイル感染型コインマイナー」を初めて確認しました。

今回確認されたファイル感染型コインマイナーは、トレンドマイクロの製品では「PE_XIAOBAMINER（シャオバマイナー。以下、XIAOBAMINER）」として検出されます。XIAOBAMINER は、マイニングだけでなくファイル感染活動や USBワーム活動の機能を備えています。トレンドマイクロでは XIAOBAMINER の亜種を既に2種確認しています。弊社の解析によると、XIAOBAMINER は、2017年10月に確認されたランサムウェア「XiaoBa」に不正コードに酷似しており、XiaoBa のコードを再利用して、マイニング機能やワーム拡散機能を追加した破壊的なファイル感染型ウイルスとしてのコインマイナー「XIAOBAMINER」が作り上げられたようです。

(さらに…)

仮想通貨を狙うフィッシング詐欺、既に闇市場での「サービス化」も確認

2017 年以降、仮想通貨を狙うサイバー犯罪の動向に注目が集まっています。現在、仮想通貨を狙う攻撃では、仮想通貨発掘ツール（コインマイナー）を使用した発掘（マイニング）を利用者のリソースを盗用し不正に行う手法が主流となっていますが、今後は利用者の所持する仮想通貨を直接的に窃取する手法も拡大してくるものと推測されます。今回のブログ記事では、既存のフィッシング詐欺でも Web 上の仮想通貨関連サービスの認証情報が狙われ始めていること、そして、既にその動きを加速させるアンダーグラウンドマーケット（闇市場）の動きが確認されていることもお伝えします。

図：3 月に確認された国内仮想通貨取引所を狙うフィッシングメールの表示例
（サンプルを元に再構築）

(さらに…)

なぜ流出？国内でも発生した仮想通貨取引所を狙う攻撃を振り返る

2017 年以降、仮想通貨を狙うサイバー犯罪者の動きが顕著になってきています。特に、2018 年に入り国内で立て続けに発生した仮想通貨取引所からの仮想通貨流出事故は、仮想通貨自体の信頼性や安全性にも関わる問題とされ大きな注目を集めています。なぜ、取引所から仮想通貨は流出してしまったのでしょうか？本ブログ記事では、国内で発生した仮想通貨取引所から仮想通貨を窃取する攻撃について、海外も含めた過去事例なども踏まえて考察します。

(さらに…)

不正な Chrome 拡張機能「DROIDCLUB」、正規ストア利用者 42 万人に影響か

トレンドマイクロの「Cyber Safety Solutions チーム」が、数百万ユーザに影響を与える Chrome の不正な拡張機能（「BREX_DCBOT.A」として検出）を確認しました。利用されている最も古い C&C サーバにちなんで「DROIDCLUB（ドロイドクラブ）」と名付けられたこのマルウェア（ボット）は、Chrome の拡張機能として拡散し、ユーザが訪問した Web サイトに広告や仮想通貨発掘コードを注入します。

(さらに…)

高校生逮捕、仮想通貨「モナコイン」のウォレットを盗む不正プログラムを解析

2018 年 1 月 30 日夜、ウイルス作成容疑で大阪の高校生が逮捕された事例が一斉に報道されました。報道によれば高校生は、仮想通貨「MONACOIN（モナコイン）」を不正に入手する目的で作成した不正プログラムを掲示板上で頒布していたことによる不正指令電磁的記録作成・同供用容疑で逮捕されました。2017 年にはランサムウェアを作成した大阪の中学生、ウイルスを 6,000 個作ったとする北海道の中学生、遠隔操作ウイルスを作成した岡山の高校生など、ウイルス作成容疑による未成年者の逮捕が相次ぎましたが、今回の事例もそれらに次ぐものと言えます。逮捕された高校生が作成した不正プログラムは、モナコイン関連の掲示板「Ask Mona」上で 2017 年 10 月に公開されていた「MonacoinTicker」と「Askmona-Viewer」という 2 本のプログラムと見られています。トレンドマイクロではこれらのプログラム検体を入手、解析の上で不正プログラムとして検出対応（「TSPY_COINSTEAL.G」として検出）しています。

図：逮捕された高校生が作成したものと見られる「Askmona-Viewer」の起動画面

(さらに…)

仮想通貨を狙うサイバー犯罪の国内動向を追う

2017 年以降、仮想通貨を狙うサイバー犯罪者の動きが顕著になっています。2018 年に入り日本でも仮想通貨取引所サイトでの仮想通貨の不正出金や流出の事例が相次いで発生したことに続き、仮想通貨ウォレットの情報を盗むマルウェア（トレンドマイクロ製品では「TSPY_COINSTEAL.G」として検出対応）を配布した高校生の逮捕事例もこの 1 月 30 日に明らかになりました。現在、仮想通貨を狙う攻撃では、仮想通貨発掘ツール（コインマイナー）による不正なコインマイニング（仮想通貨発掘）が主となっていますが、今回高校生が逮捕された事例での仮想通貨ウォレット情報の窃取のように、より直接的に仮想通貨を狙う攻撃も以前から存在していました。

図：ビットコインウォレットのデータファイル例

(さらに…)

サイバー犯罪集団「Lazarus」、改良された「RATANKBA」と遠隔操作ツールを利用し仮想通貨を狙う

投稿日:2018年1月31日
脅威カテゴリ:サイバー犯罪
執筆:Trend Micro

その活動内容によって悪名をはせるサイバー犯罪集団「Lazarus」は、正体に関する謎も相まって多くの関心を集めています。同集団は、2007 年の韓国政府に対する一連のサイバー諜報活動によって登場して以来、大きな被害をもたらした注目すべき標的型攻撃をいくつか成功させており、最近では、広く報道された 2014 年の Sony Pictures における情報漏えいや、2016 年のバングラデシュの銀行に対する攻撃が例として挙げられます。規模と影響の両面で Lazarus の活動の歴史に匹敵する集団はほとんどありません。その大きな理由の 1 つが、Lazarus が利用するツールと手法の多様性にあります。

(さらに…)

サイバー犯罪者の狙いは「仮想通貨」に拡大、2017 年第 3 四半期の脅威動向を分析

トレンドマイクロでは 2017 年第 3 四半期（7～9 月）における国内外の脅威動向について分析を行いました。サイバー犯罪者はここ数年、ランサムウェアのように凶悪な脅迫手段を使用して金銭を強奪していました。その傾向は現在も続いていますが、この第 3 四半期には仮想通貨発掘ツール（コインマイナー）のような比較的穏やかな金銭獲得手法も目立ちました。仮想通貨価格の高騰や「Monero」のような新興で発掘効率のよい仮想通貨の存在などがサイバー犯罪者の目を仮想通貨に向かせている状況と言えます。

図：日本からアクセスのあった脆弱性攻撃サイトの全体数とそのうちコインマイナーを拡散するサイト数の推移

(さらに…)

仮想通貨発掘へ手口を変えた「RETADUP」の亜種、南米の政府やエネルギー産業を狙う

投稿日:2017年10月4日
脅威カテゴリ:不正プログラム, TrendLabs Report
執筆:Trend Micro Cyber Safety Solutions Team

仮想通貨発掘へ手口を変えた「RETADUP」の亜種、南米の政府やエネルギー産業を狙うトレンドマイクロは、2017年6月にイスラエルの病院を標的とする「RETADUP（レタダップ）」を確認し、同月末に報告しました。そして 7月には、諜報活動やサイバー犯罪に利用可能な Android端末向けマルウェアである「GhostCtrl」が、RETADUP の C&Cサーバに格納されていることを確認しています。

以来、トレンドマイクロでは、RETADUP の検体を継続して入手してきました。今回確認された亜種は、南米の特定の産業と政府を標的としていました。弊社は、「RETADUP」のファミリは、ごく少数の限られた攻撃者によって利用されていると考えています。アンダーグラウンド市場やフォーラムで販売または配布されているという証拠が見つかっていないためです。

(さらに…)

ランサムウェア「CERBER」に新たな機能追加。ビットコインを窃取

投稿日:2017年8月9日
脅威カテゴリ:不正プログラム, TrendLabs Report
執筆:Trend Micro

ランサムウェア「CERBER」に新たな機能追加。ビットコインを窃取

暗号化型ランサムウェア「CERBER」は、次々と新しい機能を追加しているランサムウェアファミリとして知られています。2017年5月24日の記事では、バージョン１から６へと新しい手法を取り入れながら更新を繰り返す CERBER の変遷を解説しました。それから数カ月後の現在、CERBER は再び更新されたようです。今度は仮想通貨の窃取機能が追加されています。これにより攻撃者は、身代金とは別にビットコインも窃取するという一石二鳥を狙えることになります。

(さらに…)

Page 1 of 212