Security Response

W32.Xpaj.B は、シマンテックがこれまでに確認した中でもきわめて複雑で高度なファイルインフェクタの 1 つです。以前のブログ記事で、Piotr Krysiuk 氏はこれを「Upper Crust File Infector（ハイクラスのファイルインフェクタ）」と呼んでいます。この記事では、感染したサンプルの検出を困難にするために W32.Xpaj.B がとる数種類のアプローチが説明されていますが、自身を実行可能ファイルの内部に隠すために使われるテクニックは、平均的な水準をはるかに超えています。それほどの巧妙さゆえに、この脅威を詳しく解析することにしました。

解析から、コマンド & コントロール（C&C）サーバーの IP アドレスが判明しました。W32.Xpaj.B に感染した実行可能ファイルは、これらの C&C サーバーにダウンロード要求を送信します。脅威のバックエンド制御インフラを解析した結果、感染したクライアントに対してサーバーから送信されるのは、データだけではないことがわかりました。サーバーには、暗号化されたバイナリデータ、暗号化キー、データベース、Web アプリケーションが格納されていました。これらは、いくつかの国でホストされている複数のコンピュータに広がる詐欺活動を構成する要素であることが明らかになっています。

このバイナリデータをリバースエンジニアリングし、あわせて Web アプリケーションも解析したところ、実に複雑なクリック詐欺の手法の全容が解明されました。この詐欺の実装方法についての詳細は、...

Chrome ウェブストアで公開されているゲームが過剰なアクセス許可を要求してくるという件が、最近オンラインで話題になっています。これらのゲームは、Google Chrome の拡張機能です。Chrome のさまざまな機能を利用するためには一定のアクセス許可が必要で、たとえばブックマークを更新するにはブックマークマネージャへのアクセスを許可する必要があります。アプリケーション「Super Mario 2」は、chromitude という開発者が提供していますが、chromitude は Web データをリミックスするサービスやブラウザ拡張機能を開発している Slice Factory という会社に関係しています。この拡張機能で要求されるアクセス許可が、ただゲームをプレイするためとしては過剰なようです。要求されるアクセス許可は、次のとおりです。

·         ブックマークへのアクセス

·         新しいタブの作成を通知

·         すべての URL へのアクセス

ゲームでこのようなアクセス許可が要求される理由と、この拡張機能の実際の動作を確認するために、シマンテックはこのアプリケーションを解析しました。この拡張機能は 2 つの部分で構成されています。1 つ目は「Super Mario 2」の部分です。これは害のない Flash ベースのゲームであり、アクセス許可で求められているような形で Chrome にアクセスすることはありません。

一方、2 つ目の部分は実際に追加のアクセス許可を必要としています。この部分はバックグラウンドで動作し、2 つの JavaScript コードを要求します。要求されるコードは slicefactory.com と extensionfactory.com に置かれていて（図1）、extensionfactory.com は Slice Factory...

最近のウイルスは金儲けを目的に作成されており、その目的を達成するための手口としては脅迫、情報の盗難、詐欺が利用されています。脅迫を利用する脅威は、なかでも最も攻撃的な部類であり、場合によってはこれほど不快なウイルスもありません。このようなウイルスは一般に、「ランサムウェア（身代金を要求するマルウェア）」と呼ばれています。今回は、これまでに出現した卑劣なランサムウェアを何種類か紹介します。

大胆不敵な手口
ランサムウェアは、その本質からして控えめなものではありえませんが、一部の種類は手口が特に強引です。人から金銭を脅し取るために、ユーザーにショックを与えるとともに困惑を誘います。この最も新しい例が、Trojan.Ransomlock.F です。一連の Trojan.Ransomlock は、ランサムウェアのうち、ユーザーのデスクトップをロックするタイプです。デスクトップをロックされたコンピュータは、正常に使用できなくなります。デスクトップへのアクセスを復元するには、有料サービスのサイトにテキストメッセージを送信するよう求められるのが一般的です。この指示に従うと、ロック解除用のコードを含むメッセージが送信されますが、それも運がいい場合だけでしょう（コンピュータに侵入した上に身代金を要求してくるような人物を信用したところで、たいていは裏切られるものだからです）。

Trojan.Ransomlock.F という亜種の場合には、デスクトップがロックされるだけでなく、デスクトップの壁紙が図 1 のような露骨なポルノ画像（修正済み）に変更されてしまいます。脅威の作者がこのような手口を追加した狙いは、ユーザーの動揺をあおることにあります。ポルノ画像がディスプレイいっぱいに表示されたら、誰でも間違いなくうろたえてしまいます。恥ずかしい事態を知られたくないばかりに、誰にも問題解決のための技術サポートを求めないという可能性も高いでしょう。

...

Symantec often utilizes honeypots to acquire new samples and observe attacks in the wild. Many threats encountered on honeypots are related to botnets. However, on a rare occasion a honeypot may encounter a targeted attack. In these cases the attacker is after a specific entity, be it a person, corporation, government, or any other such body. When a computer is compromised by such a threat, the behavior can be similar to a bot, connecting to a command and control (C&C) server and awaiting commands. However, the commands received are usually not generic. They are interactive, with the attacker seeking some specific information in real-time.

 We recently encountered one of many such targeted threats on a basic honeypot and logged the activity. The attack was quite straightforward and did not utilize any new techniques. Nonetheless it is a good example of the processes such attackers use. This particular threat was targeting a corporate entity, using a tailored PDF...