Liam O Murchu

ときおり、たった 1 つのマルウェアが世間の注目を浴びることがあります。（シマンテックのオフィスを別とすれば）給湯室の世間話で話題になるマルウェアは珍しいでしょうし、実際に歴史に残るほどのマルウェアとなれば、非常にまれです。発見から今月で 1 周年を迎えるあるマルウェアが、まさにそのまれなケースに該当します。 1 年前のほぼ今頃、ベラルーシのコンピュータセキュリティ企業が、Microsoft Windows の新しい脆弱性（.LNK の脆弱性）を悪用する悪質なコードを発見したと報告しました。同社もまさか、このマルウェアが世界を変えようとは思いもしなかったでしょう。 この

以前のブログでは、 W32.Stuxnet が用いる インストールの制御フローについて説明 しました。今回のブログでは、この脅威がどれほど複雑なのかをもう少し詳しく紹介し、特にこの脅威が利用するさまざまなファイルと各ファイルの目的、ファイルごとの署名の有無について説明します。 Stuxnet のメインのペイロードは UPX 圧縮された .dll ファイルであり、感染したリムーバブルドライブに存在するファイルの 1 つに、エンコードされた形で格納されています。UPX 圧縮されたこの .dll ファイルをデコードして圧縮解除すると、その中には以下のように多くのファイルが含ま

以前のブログ でお伝えしたように、 W32.Stuxnet には複雑なネスト構造のファイルとコンポーネントが含まれています。シマンテックでは、流行が確認されている各種のサンプルが亜種なのか、それとも同じコンポーネントを組み込んでラッパーを変更しただけなのか、それを判定することが有意義であると考えました。W32.Stuxnet に亜種が存在するかどうかを確認するために、各サンプルを解析し、それを構成しているペイロードを調べました。その解析の結果を以下に示します。 調査したサンプルから（今のところ、対象はサンプル全体の一部だけです）、インストーラコンポーネントには以下の表

Code to exploit the zero-day .lnk file vulnerability (BID 43073) used by Stuxnet was added to the threat around March 2010; we know this because the samples we observed before this date did not contain code to exploit that vulnerability. This leads us to the following question: how did pre

Stuxnet に関しては現在もなお解析中で、ブログではまだ掲載していませんでしたが、今年初めに発見されて以来、Stuxnet の脅威については継続して解析を進めています。初期段階の調査では、脅威を制御する方法としてコマンド & コントロールのインフラストラクチャが指摘されました。この制御メカニズムが発見されてから、使用されるコマンド & コントロールサーバーはすぐにオフラインになりました。 その後の調査によると、この脅威はコマンド & コントロールのインフラストラクチャを介して制御されるだけでなく、ピアツーピア（P2P）コンポーネントを介して自身を更新す

Our analysis of Stuxnet has been ongoing for some time now, although we have not posted any information on our blog about it we have been continuously analyzing the threat since it was discovered earlier this year. Initial investigation into the threat pointed to a command and control infrastructu

Our continued analysis of W32.Stuxnet has revealed a total of four zero-day vulnerabilities being used by the threat. We have already discussed the .lnk file vulnerability that Stuxnet uses to spread through USB drives here . Further investigations have revealed that Stuxnet uses one additi

Previously in our series of blogs about Stuxnet we wrote about the installation details and the numerous files that are associated with the threat. In this installment I will discuss the network communication and command and control functionality of W32.Stuxnet . Although some of the ta

今回は、 W32.Stuxnet の制御フローについて説明します。この脅威はリムーバブルドライブを経由して感染を広げますが、現時点でMicrosoft から脆弱性の修正パッチが提供されていないこともあって、大きな注目を集めています。ただし、それ以外にもいくつか新しい興味深い事実がありますので、ここではそれらの点について少し紹介してみたいと思います。   この脅威に感染したリムーバブルドライブには、次のようなファイルが存在します。 Copy of Shortcut to.lnk（コピー～へのショートカット.lnk） Copy of Copy o

We recently received a file (from CERT) for analysis. We found that the file was a Trojan that opens a back door on a compromised computer and listens for commands on port 7777. This by itself is not very unusual, but what surprised us was that this file was being distributed by Energizer Inc as p