Security Response

A number of days ago, we observed a new variant of the W32.Xpaj.B virus and we blogged all of the initial details about its new features and how the outbreak sample is the patient zero of the infection. We have now done more analysis and the conclusion is in: there is no outbreak and W32.Xpaj.B is not coming back, at least for now.

From the analysis we uncovered the following:

• Samples infected by patient zero do not have the capability to infect other samples
• A 64-bit kernel mode payload injects a Dynamic-Link Library (DLL) into the target processes, but the DLL is empty
• Infected samples do not carry a copy of the virus body from patient zero, but they are infected with a substantially smaller version of the virus...

寄稿者: Branko Spasojevic

Pastebin への最近の投稿により、ZTE 社製の Score 携帯端末は、簡単なコマンドだけで root アクセスが可能になることが明らかになりました。この権限昇格を利用すると、Android 2.3.4（Gingerbread）を搭載している ZTE Score M 携帯端末の完全な制御が可能になります。シマンテックは、この端末の MetroPCS 版と Cricket Wireless 版を解析し、権限昇格の再現に成功しました。

Android セキュリティモデルは、アプリケーションが他のアプリケーションと対話できないように、また特定の権限がない限りシステムレベルのコマンドを直接実行できないように、アプリケーションをサンドボックス化して、悪影響を防いでいます。権限昇格を使うと、このようなデフォルトの Android セキュリティモデルをすり抜け、デバイス上で任意のコードを実行して自由に改変することが可能になります。

このデバイスの場合、権限昇格はコード上のバグではなく、通信キャリアによる管理あるいはトラブルシューティングを目的とした設計上の機能だと考えられます。どんな理由でこのコードが含まれていたにせよ、残念ながら任意のアプリケーションに root シェル（システムレベル権限）の取得を許可すれば、悪質なアプリケーションも root シェルを利用できることになり、本来は Android セキュリティモデルによって阻止されるはずの悪質な行為さえ実行できるようになるのです。

通信機器メーカーである ZTE 社は、この問題に対応するパッチがあることを発表し、近日中にリモート配信する予定としています。

この問題が存在するのは、システムシェル（/system/bin/sh）をスーパーユーザー権限で実行する機能を持つ、インストール済みの実行可能ファイルでした。この実行可能ファイルは、まず引数の最初の部分が "ztex" に等しいかどうかをチェックします。このチェックに成功すると、今度はユーザー引数（argument[4:]）の 2 番目の部分が "1609523" という数値に等しいかどうかをチェックします。...

スパム対策ソフトウェアでコンテンツベースのフィルタを使ってスパムを遮断するのは特に難しいことではありません。そのためスパマーは、URL ベースのフィルタをすり抜けるためにさまざまな不明瞭化の手法を編み出しています。以前このブログで取り上げたソフトハイフン（shy（シャイな）文字）の挿入もそのひとつですが、最近では、従来のスパム対策技術に見られるごく小さな盲点を狙って利益を得ることも試みられています。スパマーが試しているのは、大きさの異なるスペース（空白）文字を挿入する、あるいは通常の「.」（ドット）文字を「。」（句点）に置換することによってスパムメッセージ中の URL を不明瞭化しようという方法です。

具体的にはどうするのか、そのテクニックを紹介しましょう。

HTML では、大きさの異なるスペース文字を使えます。ほとんどの言語では単語の区切りにスペースを使いますが、スペース文字の大きさは言語によって異なります（詳しくはこちらを参照）。Unicode では、字体のデザインに応じてさまざまな幅のスペース文字を使うことができます。次の表に、スペース文字の一部をまとめました。

スパマーは、このようなスペース文字をメッセージ本文中の URL に挿入して、スパム対策フィルタをすり抜けようとします。ふつうに表示すると、この URL は次の画像のように見えます。

...

現地時間の 5 月 18 日、ソーシャルネットワークサイトの Facebook は待望の IPO（新規株式公開）を果たしました。株式の需要が発行株数を大幅に上回っていたので、この IPO は応募超過になるとたびたび予測されていました。

これほど注目を集めている IPO が、いわゆるナイジェリアの手紙詐欺や「419」詐欺といった先払い詐欺を狙う犯罪者の目にとまらないはずがありません。簡単に再確認しておくと、この種の詐欺は何らかの支援を要請し、その見返りとして莫大な資金を約束するというのが常套手段です。ただし、約束された金額を受け取るためには、あの手この手で求められる料金や手数料を前払いしなければなりません。請求は続きますが、約束された資金が現実化することは決してありません。

シマンテックは最近、「FACEBOOK (IPO) SUBSCRIPTION PARTNERSHIP PROPOSAL（Facebook の IPO 共同購入のご案内）」と称した 419 詐欺を確認しました。見出しをすべて大文字で書くのは、この手の 419 詐欺でおなじみの特徴です。

メッセージでは世界中にいくつもの拠点を持つ金融会社から送信していると謳っていますが、詐欺の真意は不明です。詐欺の本文では、「ソフトな」つまり条件のゆるい貸し付けを受けて Facebook 株を購入し、元の購入額より高い価格で金融会社に売り戻すという方法が紹介されています。

この金融会社はロンドン、香港、ドバイにオフィスを構えているとも書かれていますが、メッセージの本文に書かれた電話番号は、カリフォルニア州サクラメントにある電話応答代行サービスのもので、この会社の Web サイトを見ると、その登録オフィスはウェールズのカーディフにあります。

これが詐欺であることの最大の証拠は、返信を促しているその宛先のメールアドレスです。Web ベースの無料メールプロバイダによくある、まるで素人のようなアドレスです。正規の企業であれば、無料 Web メールのアドレスなどではなく、独自ドメインのメールアドレスを使うのが普通でしょう。メッセージの「差出人」ヘッダーに書かれたメールアドレスと名前も、メッセージ本文で使われているアドレスや名前と一致していません。...