イギリス大手新聞インデペンデント紙のメディアサイト「The Independent」の改ざん被害が確認されました。トレンドマイクロの調査によれば、サイトは日本時間 12月9日12時時点で改ざん被害が継続しており、複数の不正プログラムが拡散されている状態です。この改ざんにより、数百万人のサイト読者が不正プログラム感染のリスクにさらされる可能があります。本件についてはトレンドマイクロから既に「The Independent」へ報告し、サイト側と事態の収拾を図っています。サイト側では、ニュースサイトのスタッフが迅速に対応し、当該サイトとユーザに及ぶ影響を回避する対策を講じています。
続きを読むトレンドマイクロでは、2015年第3四半期(7~9月)における国内外の脅威動向についての分析を行いました。この第3四半期、特に日本では「正規サイト汚染」を発端とした「脅威連鎖」による被害が顕著化しています。この「脅威連鎖」では、「不正広告」もしくは「Web改ざん」により、利用者を「脆弱性攻撃サイト」へ誘導し、金銭目的の不正プログラムを感染させます。
![図1:不正広告による攻撃の概念図](/wp-content/uploads/2015/11/151117comment01.jpg)
図1:不正広告による攻撃の概念図
エクスプロイトキットに関しては、タイミングがすべてです。最新の更新プログラムを適用していない数多くのユーザを狙って、エクスプロイトキットは更新プログラムが公開されたばかりの脆弱性やゼロデイ脆弱性を頻繁に突いて攻撃に利用します。トレンドマイクロは、エクスプロイトキットが現在利用している 2つの脆弱性を確認しました。そのうちの 1つは、「Pawn Storm作戦」の最近の攻撃で利用された Adobe Flash Player のゼロデイ脆弱性です。もう 1つは、バージョン 18.0.0.232 までの Adobe Flash Player に影響を与えるもので、弊社は現在 Adobe と協働して、この脆弱性の CVE番号を確認しています。
弊社は、2015年10月28日以降、これらの 2つの脆弱性が、「Angler Exploit Kit(Angler EK)」と「Nuclear Exploit Kit(Nuclear EK)」の 2つのエクスプロイトキットに利用されていることを確認しました。
続きを読むトレンドマイクロではクラウド型セキュリティ技術基盤である「Trend Micro Smart Protection Network(SPN)」を利用し、Web経由での脆弱性攻撃に対する継続的な調査を行っています。「2015年第2四半期 セキュリティラウンドアップ」でも報告しておりますように、昨今の Web経由の攻撃では、特に「エクスプロイトキット」と呼ばれる脆弱性攻撃ツールを設置した攻撃サイトへの誘導が主要な攻撃手法となっています。攻撃者は用意した脆弱性攻撃サイトへリダイレクトを行うスクリプトなどの仕掛けを改ざんサイトなどに設置し、インターネット利用者が気づかないうちに誘導を行います。トレンドマイクロでは、この脅威連鎖を追跡し、攻撃の全体像解明に取り組んでいます。この脅威連鎖の中で、不正広告によるネット広告の汚染が、日本国内でもオンライン銀行詐欺ツールやランサムウェアなど多くの不正プログラム被害につながっている実態が明らかになってまいりました。
続きを読む「Angler Exploit Kit(Angler EK)」を利用して不正プログラムを POS(販売時点情報管理)システムに侵入させ、事前調査を実行する攻撃が確認されました。この不正プログラムは、弊社の製品では「TROJ_RECOLOAD.A」として検出され、侵入した システム が POS端末もしくは POSシステムの一部であるかを複数の条件で確認します。その後、その条件に合った特定の不正プログラムをダウンロードします。トレンドマイクロではまた、検出を回避するため、Angler EK が備えるファイルを用いずに感染させる機能を利用していることも確認しました。
続きを読むイタリア企業「Hacking Team」から漏えいしたとされる情報からこれまで未確認だった脆弱性が多数確認されています。中でも、Adobe Flash Player に関する脆弱性については、日本を狙う改ざんWebサイト経由での標的型サイバー攻撃で利用されていた事例を7月14日付の本ブログ記事でお伝えしています。そして今回トレンドマイクロでは、この Adobe Flash Player の複数の脆弱性の利用した攻撃が、日本国内の改ざんされたWebサイト経由で継続して行われている事を確認しました。
続きを読むイタリア企業「Hacking Team」への攻撃で漏えいした情報から、トレンドマイクロは、Windows に存在する新たなゼロデイ脆弱性を確認しました。弊社から報告を受けた Microsoft は、その後、定例外のセキュリティ情報となる「MS15-078」で、この脆弱性「CVE-2015-2426」を修正する更新プログラムを公開しました。この脆弱性は、Windows Vista、Server 2008以降のサポート中のすべてのバージョンに影響を与えます。セキュリティ情報によると、この脆弱性を利用することにより、権限昇格の他、任意のコードが実行される恐れがあります。なお、今回の更新プログラムは、すでに公開された「MS15-077」の置き換えとなります。「MS15-077」は、今回の更新プログラムでは対象外の Windows Server 2003 が含まれているため、この更新により、サポートが終了したサーバ用OS も危険にさらされる可能性があります。
続きを読む