Security Response

寄稿者: Takayoshi Nakayama

先日、標的型攻撃に関して取得したファイルを調べていたところ、妙なファイルセットが目に止まりました。それらのファイルを分析してみると、2 つのファイルがセットになって、今までに一般に確認されていない脆弱性を悪用するものであることが判明しました。Microsoft はこの問題を認識しており、MS11-073 を適用したユーザーは完全にセキュリティ保護されると発表しています。

これらのファイルが一般的な標的型攻撃と異なる点は、Microsoft Word の文書ファイルと .dll ファイルがペアになっていることです。通常、標的型攻撃に必要となるのは、マルウェアを投下するファイル 1 つのみです。このペアは、電子メールに添付されたアーカイブファイル内に隠れて標的に送られる可能性が高いと思われます。電子メールで送られたアーカイブに文書ファイルが含まれていることは珍しくありませんが、.dll ファイルが電子メールで送られてくることはあまりないでしょう。

この脆弱性の悪用では、Word の文書ファイルに埋め込まれた ActiveX コントロールが使用されます。Word 文書を開くと ActiveX コントロールによって fputlsat.dll が呼び出されますが、このファイルの名前は、Microsoft Office FrontPage Client Utility Library で使われる正規の .dll ファイルと同じです。この悪用に成功すると、マルウェアがシステム上に投下されます。.dll ファイルが機能するには、ファイル名が fputlsat.dll でなければならないので、電子メールで文書ファイルとともにこの名前のファイルが送られてきた場合は警戒が必要です。悪用に成功すると、fputlsat.dll が削除され、Thumbs.db ファイルと置き換えられます。攻撃者が Thumbs.db...

2011 年の夏、スマートフォンを狙ったワンクリック詐欺が発見されました。以降、現在ではワンクリック詐欺はすっかり広まっているため、スマートフォンを使って特定のキーワードをインターネット検索しただけでワンクリック詐欺サイトに引っかかってしまう確率は、かなり高くなっています。なかでも典型的なのが、ユーザーを欺いて有料サービスに登録させようとする単純な攻撃で、ページにはユーザーとそのスマートフォンについての詳しい情報が表示されます。これは、一定の金額が支払われなかった場合にサイトの所有者が法的な手段に訴えることもあるとユーザーに信じ込ませることを狙った脅迫の手法です。悪質なファイルの関与はありませんでした。詳しくは、このブログ記事を参照してください。

2012 年に入った現在では、スマートフォンを狙うワンクリック詐欺はさらに進化し、アプリケーションを利用するようになっています。詐欺にファイルを利用するのは Windows プラットフォームでは一般的で、何年間も使われ続けています。たとえば、ユーザーがコンピュータ上でビデオを再生しようとすると、HTML アプリケーションファイル（.hta）を実行するように要求され、実行するとデスクトップに何度もポップアップメッセージが表示されるというものがあります。

では、スマートフォンの場合には詐欺を実行するためにどのようにアプリケーションが使われているのか調べてみましょう。以下の図は、ワンクリック詐欺サイトの一例を示したページです。外見は、ビデオを再生できる、よくあるアダルト向け Web サイトのように見えます。

ビデオをクリックすると、18 歳以上かどうかの確認を求める認証ページが開きます。

...

最近シマンテックは、パスワードで保護された PDF や Word などの文書ファイルを利用するマルウェアが存在することを確認しました。このマルウェアは、電子メールの添付ファイルとして、限定的な標的型攻撃で使われています。

文書ファイルにパスワードを利用する本来の目的は、パスワードを設定して暗号化することによってファイルへの不正なアクセスを防ぐことにあります。ところが今回の攻撃者は、このパスワード機能を悪用してファイルを暗号化し、セキュリティ製品によるマルウェア検出をすり抜けようとしています。また、解析するにはファイルの復号が必要なので、リバースエンジニアリングも難しくなります。

このようなマルウェアは、それ自体が特別なものではありません。典型的な標的型攻撃で使われている一般的な添付ファイルと異なるのは、開くときにパスワードを要求されるという点だけです。各種のオフィススイートソフトウェアには、パスワード暗号化の機能があるので、この種の攻撃に使われる形式は文書ファイルに限りません。ワープロソフトウェアのファイルだけでなく、表計算やプレゼンテーションなどのソフトウェアのファイルも悪用される可能性があります。

これまでにも、パスワードで保護されたメール添付ファイルはたびたび出現しましたが、通常はアーカイブファイルでした。添付ファイル自体が検出されるのではなく、アーカイブ内のファイルが、抽出されたときに検出されるのです。ところが今回の攻撃の場合は、添付ファイルそのものが、パスワードで保護された、すなわち暗号化されたファイルです。もちろん、シマンテックのセキュリティ製品は従来型とプロアクティブ方式の検出技術を使って、投下あるいはダウンロードされたファイルを、他の攻撃のファイルと同じように検出しますが、パスワードで保護された文書が迷惑メールに添付されている場合は、この新しい手口にご注意ください。

攻撃者は次々と新しい手口をレパートリーに加えていますが、多層型の防御を使っているかぎり、一般の標的型攻撃より感染のリスクが高くなることはありません。

...

アダルト系コンテンツを利用した詐欺の一種、いわゆる「ワンクリック詐欺」が、しばらく前から日本のコンピュータユーザーを狙い続けています。ワンクリック詐欺では、Web サイト上のコンテンツにユーザーがアクセスするよう仕向けますが、そのコンテンツはほとんどがポルノ関係です。そうしたコンテンツ（ほとんどの場合は動画）にユーザーがアクセスを試みると、実際の動画と一緒にマルウェアがダウンロードされ、感染先のコンピュータで実行されます。マルウェアは次に、わいせつ画像のポップアップウィンドウを次々と表示し、Web サイトへの有料会員登録を求めてきます。ポップアップウィンドウは閉じることができないため、ポップアップを消したいばかりに、やむをえずサービスの料金を支払ってしまうユーザーも少なくありませんが、それでもウィンドウはまだ閉じられないことがあります。コンピュータを家族や友人と共有しているユーザーであれば特に、知られたくない閲覧履歴を隠したいばかりに支払いに応じてしまう可能性は高くなるでしょう。ワンクリック詐欺については、以前のブログで詳しく説明しています。

ワンクリック詐欺はコンピュータの世界で依然として続いていますが、最近ではスマートフォン、特に Android と iPhone を狙ったサイトも確認されるようになりました。Windows Phone と BlackBerry でもこのサイトは表示できますが、現時点で標的にはなっていません。

ユーザーがこの手の詐欺にひっかかってしまうのは、スパムメールのリンクをクリックしたか、Web サイト上で見かけたリンクをクリックしたときです。スマートフォンの場合、ユーザーはスマートフォン用の電子メールアドレスでスパムを受信します*。以下の画像は、スマートフォンのメールアドレス宛てに送信されるように特別に作成されたスパムメールの例です。リンクをクリックすると、ブラウザが起動してアダルトサイトが開きます。サイトの上部を見るとわかるとおり、このサイトは iPhone と Android OS...