Video Screencast Help
Protect Your POS Environment Against Retail Data Breaches. Learn More.
Security Response

最新の Java ゼロデイ攻撃が Bit9 セキュリティ事案と共通のサーバーを利用

Created: 04 Mar 2013 07:11:27 GMT • Translations available: English
Symantec Security Response's picture
0 0 Votes
Login to vote

シマンテックは最近、Java の新しい脆弱性として、Oracle Java Runtime Environment に存在するリモートコード実行の脆弱性(CVE-2013-1493)に関する情報を受け取りました。この攻撃の最終的なペイロードは DLL ファイルで構成され、これが IP アドレス 110.173.55.187 にあるコマンド & コントロール(C&C)サーバーに接続します。シマンテックはこの DLL ファイルを Trojan.Naid として検出します。

注目すべきなのは、ある Trojan.Naid のサンプルも、危殆化した Bit9 の証明書で署名されていた点です。この証明書は、Bit9 のセキュリティ事案に関する更新情報で報告されているとおり、他の標的に対する攻撃にも使われていました。そのサンプルで裏の通信サーバーに使われていた IP アドレスも、110.173.55.187 だったのです。

Trojan.Naid の攻撃者は非常に執拗で、いくつもの攻撃で巧妙な手口を利用しています。その主な目的は、さまざまな業種に対する産業スパイ活動です。攻撃者は複数のゼロデイ脆弱性を悪用しており、2012 年に確認されたある例では、シマンテックが以前に報告したとおり、別のゼロデイ脆弱性を悪用した「水飲み場」型攻撃を仕掛けています。このときに悪用されたのは Microsoft Internet Explorer の Same ID プロパティに存在するリモートコード実行の脆弱性(CVE-2012-1875)でした。

図 1. 最新の Java ゼロデイ攻撃の流れ

図 1 に示すように、この攻撃の初期段階は、感染したサイトに標的がアクセスするとことから始まります。このサイトには悪質な JAR ファイル(Trojan.Maljava.B として検出されます)がホストされています。JAR ファイルには CVE-2013-1493 を悪用する脅威が含まれており、侵入に成功すると svchost.jpg というファイルがダウンロードされます。これは実際には MZ 実行可能ファイルであり、Trojan.Dropper として検出されます。この実行可能ファイルが、投下された appmgmt.dll ファイル(Trojan.Naid として検出されます)のローダーとして機能します。侵入検知(IPS)の更新は、まもなくリリースされる予定で、悪質な JAR ファイルについて以下の定義が含まれています。

Web Attack: Malicious Java Download 4

シマンテックは現在、このゼロデイ脆弱性に対する保護対策をさらに調査中であり、詳しいことがわかり次第このブログを更新する予定です。今後のゼロデイ攻撃から身を守るために、最新の STAR マルウェア対策技術を利用して、できるかぎりの保護対策を講じることをお勧めします。

この新しい Java ゼロデイ攻撃について詳しくは、FireEye 社のブログを参照してください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。