Nicolas Falliere

（注意: このブログ記事は、9 月 2 日に執筆したものです。サーバーをシャットダウンし、ドメイン名を遮断するための共同の努力が続いていたため、投稿を延期していました。調査したのは最新の亜種ではありませんが、この脅威の機能は正確に反映されています。） Trojan.Bamital は 2010 年の夏に登場しましたが、この脅威が真の流行を見せたのは B 亜種 が見つかった直後の、2011 年初頭のことでした。Bamital は、各種のブラウザに侵入し、検索結果を改ざんしてユーザーを広告リンクにリダイレクトしようとします。今回の記事では、Bamital の最近の亜種を詳

W32.Virut は、Windows ファイルに感染するワームとして、2006 年から確認されています。常に脅威チャートの上位 10 位以内に入っているので、定期的な監視が必要です。 最近の亜種の解析から、ボットとコマンド & コントロールサーバーとの間の通信プロトコルを強化する変更が加えられたことが判明しています。これは、ブラックリストへの登録やシンクホールによる捕捉を防ぎ、コマンド & コントロールサーバーが乗っ取られることを避けるためです。 Virut は、コマンド & コントロール（C&C）サーバーとして機能する 2 つの

シマンテックでは、「 Sality: Story of a Peer-to-Peer Viral Network 」というタイトルのホワイトペーパーで Sality の詳細な分析を公開しました。 Sality はファイルに感染するウイルスです。実行可能ファイルに感染し、ネットワーク共有を介して自分自身を複製することで伝染します。感染したホストは、危殆化したコンピュータにマルウェアを繁殖させるために使用されるピアツーピアネットワークに参加します。通常、追加されたそれらのプログラムは、スパムの中継、通信のプロキシ処理、個人情報の盗難、Web サーバーへの感染、または分散コンピューテ

今から数カ月前、遅くとも 2 月 7 日より前に、 Sality の作成者は 感染したボットによる P2P ネットワーク に新しいマルウェアを投入しました。問題のマルウェアは、標準の COM インターフェースを使って Internet Explorer をフックし、Web フォーム経由で送信されるログイン情報を収集します。2 月に現れた亜種では、Facebook、Blogger、Myspace のログイン情報の扱い方が異なっていました。ユーザー名とパスワードを盗み出してコマンド& コントロール（C&C）サーバーに送信するだけでなく、侵入を受けたユーザーのコンピュー

W32.Sality と、Sality に感染したホストで構成される 分散型 P2P ボットネット については、2010 年春の ブログ記事 で取り上げたことがありました。このボットネットは、別のマルウェアを誘導する URL の拡散に利用されています。最近、Sality の背後にいる集団は、SIP（ Session Initiation Protocol ）を使うシステム上の VoIP（Voice over IP）アカウント情報に対して総当たりをかけるツールを配布しています。SIP は、インターネット上の音声通話やビデオ通話の初期化と制御に広く使われているプロトコルです

今回のブログでは、PLC 感染のプロセスと、PLC 感染の検出方法について詳しい続報をお届けします。   はじめに思い出していただきたいのは、Stuxnet は特定の種類の SIMATIC PLC が感染することを最終目標にしています。この目標を達成するために、SIMATIC DLL が置き換えられ、プログラミング環境と PCL デバイスの間でプロキシとして動作します。この DLL には、次の機能があります。 PLC とプログラミング環境の間の通信を監視する PLC を感染させる 潜在的な PLC 感染を隠す シーケンスは悪質なブロックと

Stuxnet のさまざまな感染経路については、 autorun.inf を使った手法 や ゼロデイ脆弱性 など、これまでのブログ記事でも取り上げてきました。シマンテックの調査では、そのほかの感染方法も見つかっています。これは、Step 7（Siemens のエンジニアリングソフトウェア）のプロジェクトフォルダに影響する手法で、サードパーティ由来の可能性がある感染プロジェクトフォルダを開くと、ユーザーが気づかないうちに感染してしまいます。 Step 7 のプロジェクトフォルダは、次のような構造になっています。 ApiLog\... CONN\...

2 か月前の ブログ では、当初 W32.Stuxnet は石油や天然ガスなどのパイプラインや原子力発電所などで使用されている産業用制御システム（ICS）を標的としていると述べました。そして、 その後の記事 で技術的な詳細についても少し触れています。 技術的なさらに詳しい説明については、 9 月 29 日の Virus Bulletin Conference で発表される報告書 にすべて含める予定ですが、ここ数日Stuxnet がシステムに感染して検知を回避するプロセスに大きな関心が集まっています。 Stuxnet は特定の ICS を標的としているので

A few months ago, I described the features of W32.Sality in these two blog entries. This well-known virus propagates by infecting Windows executable files. Infected computers also make up a fully decentralized peer-to-peer network, which is used to propagate digitally signed packages of UR

最近の W32.Stuxnet ブログシリーズ で説明したとおり、Stuxnet は Windows システムに感染して、一般に SCADA システムとして誤って認知されている産業用制御システムの検索を行います。産業用制御システムは、プログラマブルロジックコントローラ（PLC）で構成されます。PLC は、Windows システムからプログラミング可能なミニコンピュータと考えることができます。これらの PLC には、工業プロセスの自動化を制御する特殊なコードが含まれています（たとえば、プラントや工場で機械類を制御します）。プログラマは、ソフトウェア（Windows PC のソフトウェア