Security Response

寄稿者: Takayoshi Nakayama

先日、標的型攻撃に関して取得したファイルを調べていたところ、妙なファイルセットが目に止まりました。それらのファイルを分析してみると、2 つのファイルがセットになって、今までに一般に確認されていない脆弱性を悪用するものであることが判明しました。Microsoft はこの問題を認識しており、MS11-073 を適用したユーザーは完全にセキュリティ保護されると発表しています。

これらのファイルが一般的な標的型攻撃と異なる点は、Microsoft Word の文書ファイルと .dll ファイルがペアになっていることです。通常、標的型攻撃に必要となるのは、マルウェアを投下するファイル 1 つのみです。このペアは、電子メールに添付されたアーカイブファイル内に隠れて標的に送られる可能性が高いと思われます。電子メールで送られたアーカイブに文書ファイルが含まれていることは珍しくありませんが、.dll ファイルが電子メールで送られてくることはあまりないでしょう。

この脆弱性の悪用では、Word の文書ファイルに埋め込まれた ActiveX コントロールが使用されます。Word 文書を開くと ActiveX コントロールによって fputlsat.dll が呼び出されますが、このファイルの名前は、Microsoft Office FrontPage Client Utility Library で使われる正規の .dll ファイルと同じです。この悪用に成功すると、マルウェアがシステム上に投下されます。.dll ファイルが機能するには、ファイル名が fputlsat.dll でなければならないので、電子メールで文書ファイルとともにこの名前のファイルが送られてきた場合は警戒が必要です。悪用に成功すると、fputlsat.dll が削除され、Thumbs.db ファイルと置き換えられます。攻撃者が Thumbs.db...

この調査にご協力いただいた Eric Chien 氏に感謝します。

はじめに

シマンテックは最近、ノースカロライナ州立大学の Xuxian Jiang 氏が初めて指摘した新しい Android マルウェアについての報告を受け、この脅威に使われているコマンド & コントロール（C&C）サーバーについて調査を開始しました。このマルウェアは、公式の Android マーケットではなくサードパーティのマーケットプレイスで発見されたもので、電話のオプションを設定する正規のアプリケーションに仕込まれています。トロイの木馬が仕込まれたアプリケーションは、Android マルウェアの感染経路として定番であり、外見上は正規のアプリケーションと変わらぬままマルウェアの拡散に荷担します。

C&C サーバーを解析したところ、ボットネットの存続期間に接続されて感染した端末の合計数は、数十万にのぼると見られています。利益につながる可能性がある感染端末の数は、1 日当たり平均で 10,000 から 30,000 に達しており、同じ感染率が続けばボットマスターが年間で巨万の富を築くに十分です。推測される売上高については、後述の「収益の確保」をご覧ください。これまでのところ、このボットは 2011 年 9 月以来一定の感染率を保っています。標的は、中国のモバイルユーザーです（トロイの木馬が仕込まれたアプリケーションは、中国のサードパーティマーケットからしかダウンロードできません）。有料 SMS、テレフォニー、ビデオサービスからの収益確保に利用されているのも、中国の大手携帯キャリア 2 社のネットワークに限られています。これだけ長く活動を続けている以上、ボットマスターはすでに何十万ドルという稼ぎを得ている可能性があります。同類のボットネットは以前から存在しますが、実際に収益につながる仕組みが具体的に明らかになったのは、今回が初めてです。

この調査にご協力いただいた Anand Muralidharan 氏に感謝します。

全世界のテレビ局が参加する、第 14 回 International Exhibition and Forum, World Content Show（ワールドコンテンツショー国際展示フォーラム）が、2012 年 2 月 7 日から 9 日までロシアで開催されます。この展示会では、テレビ業界と電気通信業界における最新の技術とトレンドが披露されます。

大手メディア企業が大挙して参加するこの技術展示会を、スパマーも見逃すはずはなく、開催時期を狙って大量のスパムを送りつけています。少しでもユーザーの関心をひこうとして、あるスパムメールでは、このイベントで人気を呼びそうな内容を紹介しています。インタラクティブなコンテンツ、抽選会、著名業界人やスターたちの出演予定、華麗な音楽プログラムといった具合です。

ロシア語で書かれた今回のスパムの一例として、シマンテックが確認したメールを以下に挙げます。

ロシア語によるこのスパム攻撃では、以下のような件名が確認されています。

• 件名: Российские и иностранные телеканалы на фестивале World Content Show-2012
  件名の翻訳: ロシア国内外のテレビ局が集う、ワールドコンテンツショー 2012開催
• 件名: World Content Show-2012

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、...

Thanks to Eric Chien for his assistance with this research.

Introduction

We recently came across a new piece of Android malware, first highlighted by NC State’s Xuxian Jiang, and began investigating the command-and-control (C&C) servers associated with the threat. The malware was discovered on a third party marketplace (not the Android Market) and is bundled with a legitimate application for configuring phone settings. Trojanized applications are a well known infection vector for Android malware, as they allow malware to be distributed while retaining the appearance of a legitimate application.

Analysis of these servers indicate the total number of infected devices connected to the botnet over its entire life span numbered in the hundreds of thousands. The number of infected devices able to generate revenue on any...