Security Response

同僚の板橋一正氏がブログに書いているように、TrojanZbot.B（別名 Zeus ボットネット）は、システム時間を基にランダムなドメイン名を生成し、そのドメインを含んだ URL からファイルをダウンロードします。

TrojanZbot.B は、/news/?s=[数値] というパスを使ってそのドメインにアクセスし、設定ファイルをダウンロードします。設定ファイルはデジタル署名されており、次のような内容になっています。

設定ファイルは暗号化されています。このファイルを復号化するには、RC4 を適用して、先頭から末尾までバイト単位で各先行バイトとの排他的論理和（XOR）を取る必要があります。復号化と難読化の解除を行うと、設定ファイルの内容が次のように、もう少しよくわかるようになります。

復号化と難読化の解除を行っても、まだ雑然とした状態になっています。完全に復元できた箇所もありますが、途切れ途切れの文字列も多く、欠けている部分もたくさんあります。実際のところ、設定ファイルは連続したテキストファイルではなく、構造化されたバイナリデータファイルです。ファイル内の各レコードには、ヘッダーが 1 つと複数の設定ブロックがあります。

...

Trojan.Sasfis に関する最近の記事では、この攻撃のスパム的な面に焦点を当てましたが、今回はまだ続いているこの脅威について、シマンテックのグローバルに設置されたセンサーで最近流行が確認されている傾向を詳細に説明します。

拡散
Sasfis についてまとめると、この脅威は多くのスパム活動によって、これまでに全世界の電子メール量に大きな影響を及ぼしてきました。Amazon_Tracking_Number_N[ランダムな数字][長い空白文字]DOC.exe や iTunes_certificate[ランダムな数字].exe といった偽装のほか、最近では何らかの変更ログを装った電子メール添付ファイルとして、Changelog_[日]_[月]_2010.DOC[長い空白文字].exe なども確認されています（念のために説明しておくと、変更ログには一般的に .txt や .log という拡張子、場合によっては .html などの拡張子が付けられますが、.exe で表される実行可能ファイル形式であることは決してありません）。以前の活動では、UPS や DHL からの出荷追跡メールを偽装する Trojan.Bredolab の亜種が使われていたこともあり、これを実行すると Trojan.Sasfis がインストールされました。控えめに言っても、妙に閉鎖的な挙動です。現在までに確認された亜種では、ファイル名に .DOC や .PDF も使われており、Microsoft Word 文書や、一般に Adobe Reader に関連付けられるファイルに偽装することが試みられています。実行可能ファイルは圧縮されていますが、これらの亜種も通常は、圧縮された特定のファイル形式に対してすでに講じられたセキュリティ対策を回避しようとして、...

The AVAR 2009 Conference was held in the historical city of Kyoto, Japan from November 5. As this year's trend is cloud computing, fake antivirus software and massive PDF file attacks, the cloud and PDF topics were covered in the conference.

We had several Japan-specific sessions. Some delegates from the Japanese ministries and governmental agencies spoke about their tasks and statistics on cyber crimes. As with other nations, Japan has its own specialty in computer usage and malware, such as wide-spread usage of the peer-to-peer software called Winny and the related malware W32.Antinny and a destructive Trojan horse Trojan.Haradong that was discovered in the Winny network (the creator was eventually arrested). Another trend in Japan is the so-...